[모바일 모의해킹] Diva application - 2. Hardcoding Issues -Part1

사전준비

https://code-hyoon.tistory.com/34

[모바일 모의해킹] Diva application - 1. Insecure Logging

 

Hardcoding Issues(하드코딩 문제)

주로 개발자가 테스트나 개발 과정에서 편의를 위해 임시로 넣어둔 값(민감정보)를 수정하지 않고 그대로 앱을 배포하면서 발생합니다. 이러한 문제를 막기 위해서는 민감한 정보를 코드에서 분리하여 안전한 서버에 저장하고, 필요할 때마다 암화된 통신을 통해 받아와 사용해야 합니다.

 

2. Hardcoding Issues - Part1

목표: 무엇이 어디에 하드코딩되었는지 찾아보세요.
힌트: 개발자는 편의를 위해 민감한 정보를 하드코딩하는 경우가 있습니다.

 

1) "Enter the vendor Key" 입력 란에 아무 숫자를 입력하고 ACCESS 버튼을 클릭하면 "Access denied! See you in hell:D" 라는 접근이 불가하다는 문구가 뜹니다.

 

2) jadx에서 Ctrl+Shift+F로 " Access denied! See you in hell:D" 문구를 검색합니다.

 

3) HardcodeAcivity의 소스코드를 확인한 결과, 입력값이 "vendorsecretkey"와 같은지 검사하는 조건문을 확인할 수 있습니다.

4) 다시 앱으로 돌아가 "vendorsecretkey"를 입력하면 접근이 가능하다는 문구를 확인할 수 있습니다.