Ders 2.35: Uygulamada saklanan sırlar

Geliştiriciler bazen derlenmiş kodun onları sakladığını varsayarak bir uygulamaya API anahtarları, parolalar ya da şifreleme anahtarları koyar. Saklamaz: bir kod çözücü uygulamayı okunabilir Java'ya geri çevirir ve biri olmadan bile koddaki ve yerel kütüphanelerdeki dizgiler doğrudan okunabilir. Laboratuvarda Northwind Shop'u jadx ile çözüyor, kaynaklarda anahtarları ve düz HTTP adreslerini arıyor, aynı sırrın doğrudan classes.dex'ten okunabildiğini gösteriyor, yerel bir kütüphanede gömülü bir şifreleme anahtarı buluyor ve gerçek sırları herkese açık olması amaçlanan tanımlayıcılardan ayırıyorsun.

17 dk

Bu derste öğreneceklerin

Bir APK'yı jadx ile çözmek
Kaynaklarda sırları ve güvensiz URL'leri aramak
dex ve yerel kütüphanelerden dizgileri okumak
Sırları herkese açık tanımlayıcılardan ayırmak
Sızan bir anahtara yanıtı planlamak

Temel terimler

Kod çözücü (decompiler): Derlenmiş kodu yeniden okunabilir kaynağa çeviren araç.
Gömülü sır: Koda ya da kaynaklara yazılmış bir parola, anahtar ya da belirteç.
Yayımlanabilir ve gizli anahtar: Yayımlanabilir anahtar uygulamayı tanımlar ve herkese açık olması amaçlanır; gizli anahtar işlemleri yetkilendirir ve yalnızca sunucuda durmalıdır.
Karartma (obfuscation): Kodu okumayı zorlaştırmak için sınıfları ve yöntemleri yeniden adlandırmak (ör. R8).
Android Keystore: Anahtarları korumalı donanımın içinde oluşturan ve uygulamaya göstermeden kullanan sistem hizmeti.

← Bağlantılar ve benzer alan adları · Tüm dersler · IPv4 adresleri, ikilik sayılar ve alt ağ maskesi →