RELIABLE पटाखे से अपने इन-ऐप खरीदारी की रक्षा कैसे करें

हाल ही में, मैंने एक लेख लिखा था कि पटाखों से इन-ऐप खरीदारी की रक्षा कैसे करें । थोड़ा समय बीत चुका है, और हैकर्स अभी भी नहीं बैठते हैं। यह रक्षा पद्धति बहुत कठिन नहीं है, इसे दरकिनार किया जाता है। कटोम विधि के तहत, जो कि अधिक विश्वसनीय है।

इस विषय को पढ़ने से पहले, मैं पिछले पढ़ने की सलाह देता हूं कि ब्रेकर्स से इन-ऐप खरीदारी की रक्षा कैसे करें , क्योंकि यह विषय की निरंतरता है।

मेरे आवेदन में, जाँच के बाद, रसीद मेरे सर्वर पर भेजी जाती है, और मैं इसका विश्लेषण करता हूँ और इसे लॉग में सहेजता हूँ। और मैंने देखा कि जो JSON आता है वह मानक है, और किसी प्रकार का संशोधित है।
मानक एक जैसा दिखता है:

{ "receipt": { "original_purchase_date_pst": "2012-06-08 04:13:04 America/Los_Angeles", "purchase_date_ms": "1339153984956", "original_transaction_id": "430000009214053", "original_purchase_date_ms": "1339153984956", "app_item_id": "12312312323", "transaction_id": "430000009214053", "quantity": "1", "bvrs": "1.0", "version_external_identifier": "7809437", "bid": "xx.yyyyyy.zzzzzzz", "product_id": "xx.yyyyyy.zzzzzz.uuuuuu", "purchase_date": "2012-06-08 11:13:04 Etc/GMT", "purchase_date_pst": "2012-06-08 04:13:04 America/Los_Angeles", "original_purchase_date": "2012-06-08 11:13:04 Etc/GMT", "item_id": "123123123" }, "status": 0 } 

परिणामस्वरूप, मैंने 3 प्रकार के हैकिंग प्रयासों पर ध्यान दिया:

1. सबसे आम विकल्प। पटाखा नकली नहीं है Apple के सर्वर की प्रतिक्रिया, परिणामस्वरूप रसीद इस तरह दिखती है:

 { "status": 21002, "exception": "java.lang.ClassCastException" } 

हमारे पिछले तरीके ने ऐसी हैक के साथ मुकाबला किया, जब से स्थिति = 21002

2. हाल ही में, हैकिंग के नए तरीके सामने आए हैं। मुझे नहीं पता कि यह क्या उपयोगिताओं के साथ किया गया है, लेकिन वे दूसरे अनुरोध पर Apple सर्वर की प्रतिक्रिया को नकली करते हैं।
JSON फिर इस तरह दिखता है:

 { "status":0 } 

ऐसी हैकिंग को ट्रैक करना आसान है। आप कुछ चर की उपस्थिति के लिए जांच कर सकते हैं, उदाहरण के लिए, "product_id", और सब कुछ जगह में गिर जाएगा।

3. लेकिन इतना आसान नहीं है। नकली JSON का एक और संस्करण हाल ही में सामने आया है:

 { "status": 0, "receipt": { "product_id": "xx.yyyyyy.zzzzzzzz.uuuuuuu", "purchase_date": 1339152660.383128, "quantity": 1, "transaction_id": "xx.yyyyyy.zzzzzzzz.uuuuuuu" } } 

यदि आप फिर से कुछ चेक करते हैं, तो आपको कुछ ऐसा खोजने की आवश्यकता है जो ब्रेकिंग प्रोग्राम अनुरोध से नहीं मिल सकता है। सभी आंकड़ों की समीक्षा करने के बाद, मैंने महसूस किया कि इसके आसपास आने का एक सरल तरीका है जो बहुत मुश्किल होगा।
हमें "item_id" के लिए जांचने की आवश्यकता है - यह वह आईडी है जो Apple प्रत्येक उत्पाद को असाइन करता है, जिसमें इन-ऐप खरीदारी शामिल है। आप इसे iTunes में देख सकते हैं "इन-ऐप खरीदारी प्रबंधित करें" बटन पर क्लिक करके।

फिर हमारा कोड इस तरह दिखेगा:

 kFeature1 = "xx.yyyyyy.zzzzzzzz.uuuuuuu"; kFeatureItemID1 = "123123123"; kFeature2 = "xx.yyyyyy.zzzzzzzz.uuuuuuu"; kFeatureItemID2 = "123123123"; kFeature3 = "xx.yyyyyy.zzzzzzzz.uuuuuuu"; kFeatureItemID3 = "123123123"; - (BOOL)verifyReceipt:(NSData*)receiptData { NSString *urlsting = @"https://buy.itunes.apple.com/verifyReceipt"; NSURL *url = [NSURL URLWithString:urlsting]; NSMutableURLRequest *theRequest = [NSMutableURLRequest requestWithURL:url]; NSString *st = [receiptData base64EncodedString]; NSString *json = [NSString stringWithFormat:@"{\"receipt-data\":\"%@\"}", st]; [theRequest setHTTPBody:[json dataUsingEncoding:NSUTF8StringEncoding]]; [theRequest setHTTPMethod:@"POST"]; [theRequest setValue:@"application/x-www-form-urlencoded" forHTTPHeaderField:@"Content-Type"]; NSString *length = [NSString stringWithFormat:@"%d", [json length]]; [theRequest setValue:length forHTTPHeaderField:@"Content-Length"]; NSHTTPURLResponse* urlResponse = nil; NSError *error = [[NSError alloc] init]; NSData *responseData = [NSURLConnection sendSynchronousRequest:theRequest returningResponse:&urlResponse error:&error]; NSString *responseString = [[NSString alloc] initWithData:responseData encoding:NSUTF8StringEncoding]; NSDictionary *dic = [responseString JSONValue]; NSInteger status = [[dic objectForKey:@"status"] intValue]; NSDictionary *receiptDic = [dic objectForKey:@"receipt"]; BOOL retVal = NO; if (status == 0 && receiptDic) { NSString *itemId = [receiptDic objectForKey:@"item_id"]; NSString *productId = [receiptDic objectForKey:@"product_id"]; if (productId && ([productId isEqualToString:kFeature1] || [productId isEqualToString:kFeature2] || [productId isEqualToString:kFeature3] )) { if (itemId && ( [itemId isEqualToString:kFeatureItemID1] || [itemId isEqualToString:kFeatureItemID2] || [itemId isEqualToString:kFeatureItemID3] )) { retVal = YES; } } } return retVal; } 

इस कोड का प्लस क्या है: पटाखा को item_id का मूल्य नहीं पता है, यह अनुरोध किए जाने पर कहीं भी प्रसारित नहीं होता है। इसीलिए इस तरह की रसीद देना आसान नहीं होगा। हालांकि, शायद, यह संभव है।

और कृपया यह मत कहो कि सब कुछ टूट सकता है। इस सुरक्षा का उद्देश्य मानक साधनों द्वारा बड़े पैमाने पर हैक को रोकना है।