Per un'applicazione Android che esegue richieste POST (JSON) su SSL e riceve un oggetto JSON come risposta, quanto è difficile ottenere la risposta JSON?
È il modo più semplice per decompilare l'applicazione per ottenere la richiesta e inviarla e vedere quale è la risposta?
Qual è il modo più semplice e quali sono alcune tecniche che possono essere utilizzate per renderlo più difficile?
Tutto dipende dall'applicazione stessa e dal tipo di misure di sicurezza implementate. Supponendo che le richieste vengano inviate su HTTP (s), il modo più semplice è utilizzare un proxy come Burp. Dovrai installare un certificato CA sul tuo dispositivo mobile. Sarai in grado di vedere richieste e amp; risposte nel software proxy (Burp).
APP <----> proxy <----> server
Se l'applicazione utilizza il pinning SSL / TLS, la soluzione sopra descritta non funzionerà immediatamente. Alcune funzioni eseguiranno controlli aggiuntivi sul certificato, sarà necessario manomettere tali funzioni per evitarle. Generalmente ci sono due modi:
Una seconda soluzione è di non usare affatto un proxy! Di solito viene utilizzata una libreria client HTTP per eseguire tali richieste. Puoi agganciare le funzioni di richiesta HTTP e stampare direttamente il contenuto.
APP <----> server
^-> hooked functions which prints the requests
La seconda soluzione può essere utile quando l'app non utilizza le richieste HTTP standard. Alcune app usano protocolli binari come un gRPC, sarebbe più facile agganciare la funzione myclient_post(jsonData) e stampare i parametri + risposta, piuttosto che eseguire il reverse engineer del protocollo binario, configurare un proxy ecc ...
Alcuni collegamenti che potrebbero essere utili: