Hitster kutu oyununun Android uygulaması tersine mühendislikle çözüldü
Öne çıkanlar
- Hitster uygulamasındaki AES-GCM şifrelemesi ayrıştırılarak 31 bin satırlık veritabanı çözüldü.
- Şifreleme anahtarı, kod içine gömülü iki bayt dizisinin XOR işlemiyle birleştirilmesiyle bulundu.
- Tüm şifreli verilerin geliştirici sunucusunda korumasız şekilde açıkta durduğu tespit edildi.
Hitster adlı müzik temalı kutu oyununun mobil uygulamasını inceleyen bir geliştirici, kart veritabanını elde etmek amacıyla Android paketini tersine mühendislik yöntemleriyle analiz etti. Oyundaki QR kodların müzik platformlarına doğrudan yönlendirilmesi ve uygulamanın ücretli abonelik dayatması üzerine başlatılan çalışma, şifrelenmiş oyun verilerinin istemci tarafında nasıl saklandığını ortaya çıkardı.
Uygulama kaynak kodlarını jadx aracıyla ayrıştıran araştırmacı, yerel dosyalarda Base64 ve AES-GCM ile şifrelenmiş JSON veritabanları tespit etti. Kod blokları arasındaki iki ayrı 32 baytlık dizinin XOR işlemine tabi tutulmasıyla şifre türetme anahtarı elde edildi. Rust diliyle yazılan özel bir çözücü sayesinde yaklaşık 31 bin satırlık şarkı ve kart eşleştirme listesi başarıyla deşifre edildi.
İncelemenin devamında uygulamanın kullandığı ağ adresleri araştırıldığında, aynı veritabanının şifresiz hali geliştiricinin açık sunucusunda bulundu. Şirketin varlık sunucusundaki gameset_database.json dosyasına doğrudan erişilebildiği, bu nedenle istemci tarafındaki şifreleme mekanizmasının veriyi korumada işlevsiz kaldığı anlaşıldı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.