💆🏾 👩‍🚀 ⛴️ (संयुक्त राष्ट्र) आधिकारिक Habr आवेदन

एक शांत और पहले से ही उबाऊ शाम में, मैं, हैबर के आधिकारिक ऐप के माध्यम से, एक बार फिर से अपनी उंगलियों को झुकाता हूं, प्रत्येक निष्क्रिय सुविधा के लिए। यहां, उदाहरण के लिए, टिप्पणी करना असंभव है, उन्हें वोट देने के अधिकार से वंचित किया जाता है, और सामान्य तौर पर, सूत्र स्क्रीन पर दिखाई क्यों नहीं देते हैं?

यह तय किया गया था: आपको कुछ आरामदायक, सुखद, अपनी आवश्यकता है। Habr के लिए अपने एप्लिकेशन के बारे में क्या?
स्थिति को समझने के लिए कुछ स्क्रीनशॉट दें।

किसी तरह यह दिखता है - का। habr.com आवेदन

"असुविधाओं" की सूची

आप ऐसे प्रकाशन को रेट नहीं कर सकते, जिसकी रेटिंग 0 से अधिक हो
टिप्पणी लिखना हमेशा संभव नहीं होता है
सर्वे से काम नहीं चलता
सूत्र काले विषय में दिखाई नहीं देते (काले रंग पर काले)
सभी बुकमार्क उपलब्ध नहीं

हां, पिछले अगस्त से आवेदन को अपडेट नहीं किया गया है, लेकिन अभी भी खराब है। सामान्य तौर पर, आपको इसे ठीक करने की आवश्यकता होती है।

भाग एक पहुँच की तलाश में।

Google के लिए एक त्वरित अनुरोध "habrahabr एपीआई" पहले से ही अप्रचलित गीथूब रिपॉजिटरी द्वारा जारी किया गया है , जिसे 21 नवंबर 2016 के बाद से अपडेट नहीं किया गया है, और यह एक मिनट के लिए ढाई साल है ।

इस तथ्य को अनदेखा करना कि यह PHP है, नीचे स्क्रॉल करें और पढ़ें:

एप्लिकेशन आईडी प्राप्त करें

हाबराहाब पर इस फॉर्म का उपयोग करते हुए, आपको नए एप्लिकेशन के सार और उस उद्देश्य के बारे में संक्षेप में वर्णन करने की आवश्यकता है जिसके लिए उसे एपीआई की आवश्यकता है।

यह एक प्रश्न नहीं है यदि आपको पहुँच प्राप्त करने की आवश्यकता है, तो आपको करने की आवश्यकता है। हम एक पत्र लिखते हैं (संक्षेप में):

एक अक्षर

PWA के आधार पर Habr के लिए एक आवेदन करने की इच्छा है। इसके कई कारण हैं।

पहला और सबसे समझ में आता है: एंड्रॉइड एप्लिकेशन मेरी व्यक्तिगत आवश्यकताओं को पूरा नहीं करता है।

दूसरा: सभी प्रकार की चीजों के बारे में पर्याप्त मूल सूचनाएं नहीं हैं जो आमतौर पर पोस्ट ऑफिस (टिप्पणियों, उदाहरण के लिए) पर आती हैं।

तीसरा: लोगों के लिए व्यक्तिगत पाचन (एक संभावना के रूप में) / मेरे लिए दिलचस्पी रखने वाले हब, मेरे हितों को देखते हुए।

बेशक, जवाब बहुत सुखद नहीं था, लेकिन कम से कम ईमानदार:

दुर्भाग्य से, वर्तमान में हमारे एपीआई तक पहुंच उपलब्ध नहीं है। एपीआई को अंतिम रूप देने के बाद हम फिर से पहुंच प्रदान करने की योजना बनाते हैं, लेकिन हमारे पास अभी तक कोई सटीक तारीखें नहीं हैं, क्योंकि फिलहाल हम अन्य प्राथमिकता वाले कार्यों को सुलझाने में व्यस्त हैं।

"ठीक है, यह बात नहीं है! हम कुछ लेकर आएंगे! " मैंने खुद को बताया, और खोजना शुरू किया।

भाग दो गहरी खुदाई।

तर्क के आधार पर, यदि एप्लिकेशन काम करता है, तो इसकी एपीआई तक पहुंच होती है, और इसे एप्लिकेशन में वायर्ड किया जाता है। आइए विश्लेषण करते हैं।

चूँकि हम ट्रैफ़िक से निपट रहे हैं, इसलिए हमारी पसंद Wireshark है। एक स्थिर कंप्यूटर के माध्यम से इंटरनेट से फोन को जोड़ने से पीड़ा के बिना, आवेदन खोलें और अनुरोधों को देखें:

स्पष्ट है कि कुछ भी स्पष्ट नहीं है

हां, सब कुछ एन्क्रिप्टेड है, लेकिन मैं क्रिप्टोग्राफी के साथ गड़बड़ नहीं करना चाहता। फिर आपको एप्लिकेशन के अंदर देखने की आवश्यकता है।

विघटित .apk होने के बाद, हम खोजना शुरू करते हैं। किसी भी एपीआई की क्या जरूरत है? यह सही है, समापन बिंदु , वह स्थान जहाँ सभी अनुरोध चलते हैं। यह संभवतः http (s) है, "https: //" खोजने की कोशिश करें:

फ़ाइल AuthLinkManager.smali हम पाते हैं

 .field OAUTH:Ljava/lang/String; = "https://habrahabr.ru/auth/o/%s/" .field OAUTH_PARAMS:Ljava/lang/String; = "?client_id=%s&response_type=token&redirect_uri=%s" .field OAUTH_REDIRECT_URL:Ljava/lang/String; = "http://cleverpumpkin.ru"

यह एंड्रॉइड वर्चुअल मशीन ( Dalvik VM ) के लिए कोड है, जो मनुष्यों के लिए बहुत स्पष्ट नहीं है, लेकिन अभी भी काफी जानकारीपूर्ण है। ये तीनों स्थिरांक, उनकी सामग्री और नाम के साथ-साथ GitHub रिपॉजिटरी को देखते हुए, GET पद्धति का उपयोग करके एक पहुंच टोकन का अनुरोध करने के लिए उपयोग किए जाते हैं।

हम आगे देखते हैं। अगली NetworkModule.smali फ़ाइल जो आपको आपकी खोज में मिलती है:

 const-string v0, "https://habr.com/api/v1/"

और यहाँ अनुरोधों के साथ जाने की जगह है!

स्व-लिखित क्लाइंट के सामान्य संचालन के लिए, पता लगाने के लिए केवल एक ही चीज़ बची है - client_id , जो कि संभवतः एप्लिकेशन के लिए एक विशिष्ट पहचानकर्ता है।

हालांकि, स्रोतों में इस पाठ की खोज से प्रासंगिक जानकारी नहीं मिली ...

लेकिन अचानक, एक फ़ाइल में, मेरी नजर दिलचस्प रेखाओं पर पड़ी:

 const-string p8, "log-tag" invoke-static {p8, p2}, Landroid/util/Log;->d(Ljava/lang/String;Ljava/lang/String;)I

यह, जैसा कि आप समझ सकते हैं, एक लॉग प्रविष्टि है। लेकिन क्या रिकॉर्ड?

भाग तीन यहाँ लॉग हैं!

हम अनुप्रयोग लॉग देखने के लिए adb logcat का उपयोग करते हैं।

अप्रत्याशित रूप से, लेकिन लॉग अपेक्षा से अधिक विस्तृत थे।

यहाँ न केवल client_id हमें client_id , बल्कि उपयोगकर्ता / आवेदन टोकन , साथ ही साथ सादा लॉगिन और पासवर्ड भी !

कुछ साजिश के सिद्धांत

अपने आप में लॉगिन और पासवर्ड लॉग की उपस्थिति कुछ भी नुकसान नहीं पहुंचाती है, क्योंकि ये लॉग केवल रूट अधिकारों या एक adb कनेक्शन के साथ पढ़े जा सकते हैं। लेकिन इस तथ्य के कारण कि हबर पढ़ने वाले लोगों में, एंड्रॉइड पर डेवलपर्स हैं जो डिबगिंग सक्षम हो सकते हैं, यह एक समस्या बन जाती है।

इस मामले में, हवाई अड्डे पर "नि: शुल्क शुल्क" के परिणामस्वरूप खाते की चोरी हो सकती है ~~, हालांकि इसकी आवश्यकता किसे है?~~

इन लॉग से आप बना सकते हैं:

apikey तक पहुँचने के लिए apikey और apikey जरूरत है;
उपयोगकर्ता प्राधिकरण URL (अजीब है, लेकिन इस पद्धति के बारे में भंडार में कुछ भी नहीं है, शायद यह प्रदान नहीं किया गया है?)

और इसलिए यह हुआ। इस छोटे से अध्ययन के आधार पर, एक छोटे से प्रोजेक्ट पर पहले से ही काम चल रहा है - एक मोबाइल एप्लिकेशन का अपना कार्यान्वयन। यदि आप मदद करना चाहते हैं, तो कृपया संदेशों में, और बाकी सभी को लिखें - वोट करने के लिए (क्योंकि मैं समझना चाहता हूं कि अगर किसी को इसकी आवश्यकता है)।

आपका ध्यान के लिए धन्यवाद!

(संयुक्त राष्ट्र) आधिकारिक Habr आवेदन - HabrApp 2.0: का उपयोग

भाग एक पहुँच की तलाश में।

भाग दो गहरी खुदाई।

भाग तीन यहाँ लॉग हैं!

More articles: