3 votos

Cómo encontrar peticiones HTTP en el código fuente apk

He extraido un apk(react native) con dex2jar y jar a java a traves de jd-qui y tambien con apktool, y puedo ver el codigo fuente pero no hay ninguna pista de donde estan las peticiones HTTP en el codigo fuente.

Cuando intercepto el tráfico apk puedo ver todas las peticiones a graphql endoint pero no puedo ver en el código fuente, donde se activan o almacenan.

Busqué el código fuente extraído con algunas palabras clave como grahpql y la dirección del servidor, pero sigue sin obtener resultados.

Y el código no parece ofuscado a mí, sólo algunas partes son como;

@Metadata(d1 = {"\000\026\n\002\030\002\n\002\020\000\n\000\n\002\020\002\n\000\n\002\030\002\n\000\bf\030\0002\0020\001J\020\020\002\032\0020\0032\006\020\004\032\0020\005H&\006\006"}, d2 = {"Lcom/shopify/arrive/E2EModule;", "", "launch", "", "intent", "Landroid/content/Intent;", "app_release"}, k = 1, mv = {1, 7, 1}, xi = 48)
public interface E2EModule {
  void launch(Intent paramIntent);
}

¿Hay alguna forma de llegar a dónde se lanzan o almacenan estas peticiones en el código fuente?

Este es el nombre apk, com.shopify.arrive

3voto

Anique Azhar Puntos 21

Hay muchas maneras de intentarlo

La primera opción es realizar ingeniería inversa del código en dex y descompilar utilizando cualquier herramienta como fernflower o CFR. A continuación, aplicar regex extraer secuencia de comandos para extraer todos los enlaces http. Referencia del código

La segunda opción es utilizar una herramienta de precompilación como MobSF Herramienta automatizada para extraer urls http

Otra posibilidad es que el desarrollador de la aplicación haya ocultado las urls/enlaces de forma dividida o los haya encriptado, en ese caso puedes hacer un análisis dinámico para obtener las urls junto con el archivo desde el que se está llamando a la url.

Otra posibilidad es que el desarrollador lo haya ocultado en el binario normalmente escrito en C usando JNI Java Native Interfaces. Puedes utilizar herramientas como IDA o Ghidra para desensamblar el código y poder verlo. Esta es la herramienta

También hay otras formas que se pueden explorar si éstas no funcionan.

PreguntAndroid.com

PreguntAndroid es una comunidad de usuarios de Android en la que puedes resolver tus problemas y dudas.
Puedes consultar las preguntas de otros usuarios, hacer tus propias preguntas o resolver las de los demás.

Powered by:

X