Bez PCBez PChttps://teletype.in/atom/bezpc2026-05-26T13:08:43.107Zbezpc:yAUl7by7865Insecure Shop: Start(Hardcoded Credentials)2024-12-15T02:52:24.201Z2024-12-15T02:52:24.201Z<img src="https://img4.teletype.in/files/38/b9/38b931d4-3c1c-4691-b36a-ebcd6e98edc1.png">BezPC
<p id="dw44">BezPC</p>
<p id="oTmc">Як я вже розказував - я трохи дивлюсь в сторону Андроїд пентесту. І наступний цикл( якщо вистачить наснаги) статей - про тестування дефолтної апки з вразливостями (https://github.com/hax0rgb/InsecureShop/tree/main). Це щось типу аналогу Juice Shop для мобілок.</p>
<p id="pxkf">Для початку інструменти. Я не ютуб і не чат гпт, щоб вчити встановлювати і тд. З того що сам юзаю - Genymotion, Burp, apktool, frida, jadx gui.</p>
<p id="Pweu">Genymotion - емулятор андроїд девайсів. Після запуску - апку можна просто перетягнути туди. І вона встановиться і запуститься. Ось що нас вітає:</p>
<figure id="NdQt" class="m_original">
<img src="https://img4.teletype.in/files/38/b9/38b931d4-3c1c-4691-b36a-ebcd6e98edc1.png" width="626" />
</figure>
<p id="aw9r">Ще й собаки, навіть кнопку реєстрації не лишили(</p>
<p id="vEJM">Але ми пройдемо бочком. Запускаємо jadx-gui. І відкриваємо InsecureShop.apk і в файловій структурі шукаємо com.InsecureShop - це код написаний авторами самої апки(Там ще буде код гугла, чи ще яких стороніх бібліотек). В коді, за логікою - шукаємо щось про логін, може по ключовому слову "pass" і тд.</p>
<figure id="buYr" class="m_original">
<img src="https://img3.teletype.in/files/eb/13/eb13f029-8448-4309-9cd1-10053495dc11.png" width="529" />
</figure>
<section style="background-color:hsl(hsl(34, 84%, var(--autocolor-background-lightness, 95%)), 85%, 85%);">
<p id="VF6S">Ну а далі штудіюємо код. Не лишнім буде кинути ChatGPT, може ми щось пропустимо, а може він. І наш пошук нагороджується:</p>
</section>
<figure id="YVdO" class="m_original">
<img src="https://img2.teletype.in/files/d4/05/d405da0e-3aca-4c61-ae48-04fb61906f94.png" width="474" />
</figure>
<p id="mnaP">Це була вразливість Hardcoded Credentials. Приклад утопічний, і навряд зустрінете в житті, але який не який, а Api Key можна знайти.</p>
<p id="7YFa">Поширюйте і діліться. Буду більш мотивований)</p>