🔍 داستان واقعی از پیدا کردن باگ در یک اپ موبایل

یه مقاله‌ای هست می‌خوام اینو براتون بازش کنم که متوجه بشید چه جوری اومده این کارو انجام داده 👇

یه محقق امنیتی اومده یه اپ موبایل به اسم AeroParts رو بررسی کنه. اولین چیزی که فهمید این بود که این اپ با Cordova ساخته شده.

❓ Cordova یعنی چی؟
خیلی ساده: یعنی برنامه‌نویس به‌جای اینکه اپ رو با جاوا یا کاتلین بنویسه، با HTML و JavaScript نوشته و بعد پیچیده داخل اپ موبایل.

📱 ترجمه خیلی ساده:
اپ Cordova ≈ یه سایت که به صورتwebview توی اپ نمایش میده

چرا این مهمه؟
چون وقتی این‌طوری باشه، کدهای اصلی اپ معمولاً راحت‌تر لو می‌رن.

---

🪜 مرحله اول — کالبدشکافی APK

محقق اومد فایل APK رو دیکامپایل کرد (یعنی بازش کرد ببینه داخلش چیه).

چی پیدا کرد؟

- کلیدهای رمزنگاری داخل کد 😬
- آدرس سرورهای بک‌اند
- endpointهای API

یعنی عملاً نقشه پشت‌صحنه اپ دستش اومد.

⚠️ نکته مهم:
تا اینجا هنوز هیچ هکی روی سرور انجام نشده بود — فقط تحلیل آفلاین بود.

---

🔑 مرحله دوم — شکستن قفل دیتابیس

توی کد دید دیتابیس‌های اپ با یه کلید مخفی باز می‌شن.

اما چون کلید داخل کد هاردکد شده بود، با یه کم دنبال کردن توانست:

✅ کلید اول رو دربیاره
✅ الگوریتم رمزگشایی رو تقلید کنه
✅ کلید نهایی رو بسازه

🎯 نتیجه: دسترسی کامل به دیتای لوکال اپ

این خودش یه ضعف امنیتی جدیه.

---

🌐 مرحله سوم — نگاه به سرور

اینجا داستان جذاب می‌شه.

داخل کد اپ یه endpoint دید برای دانلود فایل:

fetchFile

این یعنی اپ از سرور فایل می‌گیره.

اینجا محقق گفت:
«نکنه این ورودی path رو فیلتر نکرده باشن؟ 🤔»

---

🚨 مرحله چهارم — تست خطرناک (LFI)

یه درخواست دستکاری‌شده فرستاد به سرور:

به‌جای فایل معمولی، گفت:

../../../../etc/passwd

اگر اهل لینوکس باشی می‌دونی این فایل لیست یوزرهای سیستمه.

و چی شد؟

سرور بدون هیچ مقاومتی فایل رو برگردوند!

---

💥 یعنی دقیقاً چه اتفاقی افتاد؟

✅ سرور خودش فایل‌های لوکالش رو لو داد

به این می‌گن:

🔥 Local File Inclusion (LFI)

---

🧠 تصویر ذهنی خیلی ساده

حالت سالم 👌
تو می‌گی: «این فایل مجاز رو بده»
سرور: «چشم»

حالت خراب 🚨
تو می‌گی: «برو از پوشه‌های سیستمی خودت فایل بیار»
سرور: «بفرما»

---

📌 جمع‌بندی

این اپ سه تا اشتباه بزرگ داشت:

- 🔴 استفاده از Cordova بدون محافظت کافی
- 🔴 نگهداری کلیدها داخل کد
- 🔴 فیلتر نکردن path در سرور

---

#BugBounty #CyberSecurity #MobileSecurity #AndroidSecurity #Pentest #EthicalHacking #Infosec #LFI #OWASP

@androidSec_fa