Geliştirici spor salonu uygulamasını tersine mühendislikle çözdü
Öne çıkanlar
- Spor salonu uygulamasının QR kodları 15 saniyede bir yerel olarak güncelleniyor.
- Şifreleme için gereken anahtar verilerinin cihazdaki bir düz metin günlüğünde saklandığı belirlendi.
- Geliştirici, turnike geçiş kodlarını bağımsız üreten SvelteKit tabanlı bir web aracı yazdı.
Bir yazılım geliştiricisi, üyesi olduğu spor salonunun mobil uygulamasında yer alan ve kapatılamayan sosyal medya akışını atlatmak için tersine mühendislik yöntemlerine başvurdu. Yalnızca turnikelerden geçiş için gereken dinamik QR kodunu üretmek isteyen geliştirici, büyük dil modelleri ve çeşitli analiz araçları yardımıyla uygulamanın kod yapısını ve şifreleme mekanizmasını çözdü.
Flutter ile geliştirilen uygulamanın mantığını incelemek için blutter, jadx ve Android SDK araçları kullanıldı. Çevrimdışı testler sonucunda QR kodlarının cihaz üzerinde yerel olarak üretildiği saptandı. Kod yapısının hesap kimliği, AES-128-CTR ile şifrelenmiş son kullanma zamanı, rastgele bir değer ve sağlama toplamından oluşan bir bağlantı içerdiği tespit edildi.
Root erişimine sahip bir Android cihaz üzerinden ağ isteklerini ve kayıt dosyalarını inceleyen geliştirici, ihtiyaç duyulan şifreleme anahtarlarının düz metin günlük dosyasında saklandığını belirledi. Elde edilen anahtarlarla SvelteKit tabanlı hafif bir web uygulaması inşa edildi ve üretilen QR kodunun spor salonu turnikelerinde sorunsuz çalıştığı bildirildi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.