कभी-कभी घुटने में कैसे सुविधा होती है, इसके बारे में एक छोटी कहानी

आर्टेम अजारिएव, आईसीडी के सूचना प्रौद्योगिकी निदेशालय के दूरस्थ सेवा चैनलों की क्षमता के केंद्र के प्रमुख

नमस्कार, हेब्र!

मेरा नाम अर्टेम अजारिएव है, मैं मॉस्को क्रेडिट बैंक की एंड्रॉइड टीम के लिए एक टीम लीडर हूं, और आज मैं डिबग लाइब्रेरी के दृष्टिकोण से आवेदन सुरक्षा के बारे में बात करना चाहता हूं। कुछ साल मैं फ्रीलांस में लगा रहा, फिर 4 साल तक मैं मोबाइल ओएस के लिए पूर्ण विकास में लगा रहा। ऐसा हुआ कि अपनी योग्यता में सुधार के लिए मेरी फ्रीलांस के वर्षों में, मैंने एंड्रॉइड अनुप्रयोगों के रिवर्स इंजीनियरिंग के विषय पर छुआ, और धीरे-धीरे यह मेरे शौक में बदल गया।

परिचय

यह कोई रहस्य नहीं है कि लंबे समय तक एंड्रॉइड स्टूडियो ने डिवाइस से पर्याप्त रूप से एप्लिकेशन डेटा प्राप्त करने के लिए कोई तंत्र प्रस्तुत नहीं किया: डेटाबेस की सामग्री, SharedPrefrences, नेटवर्क अनुरोध। हर कोई पीड़ित है, जिसमें फेसबुक जैसे दिग्गज शामिल हैं।

यह वे थे जिन्होंने समुदाय को शेठो (https://github.com/facebook/stetho) को डीबग करने के लिए एक बहुत ही उपयोगी पुस्तकालय दिया, जिसमें बहुत सरल एकीकरण के साथ केवल कुछ पंक्तियों में इस परियोजना को शामिल किया गया। मैंने लाइब्रेरी के बारे में बात नहीं की, सबसे अधिक संभावना है, बहुत से लोग पहले से ही इसे जानते हैं, लेकिन जो परवाह करते हैं, वे इसे अपने दम पर पढ़ते हैं।

इस पुस्तकालय का एकीकरण इस प्रकार है:





क्रोम ब्राउज़र का उपयोग करते हुए, हमारे पास डेटाबेस की सामग्री और डिवाइस पर संग्रहीत सेटिंग्स तक पहुंच होती है, और यदि हम प्लग-इन को okhttp3 से कनेक्ट करते हैं, तो नेटवर्क अनुरोधों की सामग्री के लिए भी।



"लेकिन हे, यह रिलीज बिल्ड में भी होगा?" - चौकस डेवलपर खुद से पूछेगा। हमें पुस्तकालय के विवरण की ओर मुड़ते हैं - हमें इसके बारे में क्या सलाह दी जाती है?

नमूना परियोजना से पता चलता है कि इस लाइब्रेरी को केवल बिल्ड विकल्पों में से एक में ओवरलोडिंग करके केवल डीबग शाखा में आरंभीकृत करने की आवश्यकता है।



हम रिलीज़ असेंबली को मिनिमाइज़ इनेबल्ड (minifyEnabled झंडा) के साथ इकट्ठा करते हैं। हम ब्राउज़र की जाँच कर रहे हैं, हम डिबगिंग के लिए उपलब्ध कोई भी एप्लिकेशन नहीं देखते हैं और चुपचाप सो जाते हैं।

मिनिमाइज़ेशन एक ऐसी प्रक्रिया है जिसका उद्देश्य स्रोत कोड के आकार को कम करके अनावश्यक वर्णों को हटाकर उसकी कार्यक्षमता को बदले बिना किया जा सकता है। एंड्रॉइड में उपयोग किया जाने वाला प्रोगार्ड टूल अप्रयुक्त कोड से प्रोजेक्ट को साफ करने में भी शामिल है।

hatskery

एप्लिकेशन का कोई भी रिवर्स इंजीनियरिंग संभावित बुकमार्क और बैकडोर के अध्ययन से शुरू होता है, जो डेवलपर्स द्वारा खुद के लिए छोड़ दिया गया था।

सबसे पहले, हम जावा में एप्लिकेशन को जितना संभव हो उतना डिकंपाइल करते हैं और पैकेज ट्री का अध्ययन करते हैं।



हमला किया गया आवेदन में जो सबसे प्यारी चीज मिल सकती है, वह अच्छी पुरानी स्टेथो है। डिफ़ॉल्ट रूप से कॉन्फ़िगर किया गया मिनिफिकेशन इसे हटाता नहीं है, और सामान्य तौर पर इस लाइब्रेरी का पूरा कोड बेस केवल प्रोडक्शन बिल्ड में बदल जाता है।

मैंने काफी शांत और बड़ी कंपनियों से बहुत सारे एप्लिकेशन देखे, जो कई वर्षों से उत्पादन के निर्माण में इस तरह की लाइब्रेरी को छोड़ते हैं।

कोई पूछेगा: “और यह क्या है? यह बंद है। इसके अलावा, भले ही आप इसे चालू करते हैं, बाद में इस एप्लिकेशन को बनाने का प्रयास करें। ”

सच है, जावा में लगभग विघटित होना कभी भी 100% काम करने का कोड नहीं देता है। लेकिन स्माली / बैकस्माली है।
स्माली / बैकस्लैम, डैलविक द्वारा उपयोग किए जाने वाले डेक्स प्रारूप के लिए एक कोडांतरक / डिस्सेम्बलर है, जो एंड्रॉइड में जावा वीएम का एक कार्यान्वयन है।

हमारे आवेदन को खारिज करने से, हम देखेंगे कि वास्तव में कुछ भी शामिल नहीं है।



लेकिन, कुछ पंक्तियों को जोड़ने और परियोजना के पुस्तकालय के सभी कोड होने पर, हम, विशेष रूप से बिना तनाव के, इसे वापस चालू कर सकते हैं।



OKhttp3 प्लगइन के लिए, समर्थन भी उसी तरह से सक्षम है - OkhttpClient के लिए एक इंटरसेप्टर जोड़कर।

एप्लिकेशन को वापस एकत्रित करना (और इसे स्माली से करना आसान है), हम देखते हैं कि स्टेथो के माध्यम से डिबगिंग फिर से उपलब्ध है, और आपके सभी डेटा स्थानीय सेटिंग्स रिपॉजिटरी में हैं, आपके सभी एपीआई पूरी तरह से चालाक हैकर्स की आंखों के सामने हैं।

क्या करें?

अंतिम बिल्ड से पैकेज को बाहर करने के लिए कई विकल्प हैं। व्यक्तिगत रूप से, मैं स्टेथो लाइब्रेरी को इनिशियलाइज़ करने के लिए एक छोटा रैपर लिखना पसंद करता हूं और असेंबली विकल्पों के अनुसार इसके विभिन्न कार्यान्वयन को विघटित करता हूं।
रिहाई



डिबग



और यह भी इंगित करें कि इस कोड आधार की आवश्यकता केवल डीबग बिल्ड में है।

साँस छोड़ सकते हैं

एंड्रॉइड एप्लिकेशन सिक्योरिटी के संदर्भ में काम करते समय मैं उन मूल सिद्धांतों को आवाज देकर समाप्त करना चाहूंगा, जिनका मैं उपयोग करता हूं:

• छोटा करें और, यदि संभव हो, तो आपके द्वारा प्राप्त की जाने वाली हर चीज को बाधित करें।
  
  किसी भी मामले में, यह विघटित कोड के विश्लेषण को जटिल बनाता है। हैकर के सिर पर भूरे रंग के बाल बनाने का एक अतिरिक्त तर्क एक रिपैकेजक्लासेस ध्वज होगा, जो कि छोटी कक्षाओं को एक पैकेज में ले जाएगा। उनमें से बहुत कुछ होगा।
• अपने स्वयं के अनुप्रयोगों का अन्वेषण करें।
  
  कम से कम आपके पैकेज के पेड़ का एक सरसरी निरीक्षण परियोजना, ढांचे, पुस्तकालयों में उपयोग की जाने वाली संरचना के बारे में बहुत कुछ बता सकता है। जो स्पष्ट रूप से नहीं है, उसे निर्दयतापूर्वक हटा दिया जाना चाहिए।
• कोई भी उपकरण जल्द या बाद में आपको घुटने में गोली मार सकता है।

अपने प्रोजेक्ट में कुछ जोड़ते समय, यहां तक ​​कि अच्छे कारणों के लिए, यह सोचें कि इसे सही तरीके से कैसे किया जाए और आपको इसकी कितनी आवश्यकता है।

मुझे आशा है कि मेरा अनुभव आपके लिए उपयोगी होगा।