maride/hacktricks
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks.git synced 2025-10-10 18:36:50 +00:00
Code Issues Packages Projects Releases Wiki Activity
hacktricks/src/mobile-pentesting/android-app-pentesting/react-native-application.md

2.4 KiB
Raw Blame History

{{#include ../../banners/hacktricks-training.md}}

Analiza React Native Aplikacije

Da biste potvrdili da li je aplikacija izgrađena na React Native okviru, pratite ove korake:

  1. Preimenujte APK datoteku sa zip ekstenzijom i raspakujte je u novu fasciklu koristeći komandu cp com.example.apk example-apk.zip i unzip -qq example-apk.zip -d ReactNative.

  2. Idite u novokreiranu ReactNative fasciklu i pronađite fasciklu assets. Unutar ove fascikle, trebali biste pronaći datoteku index.android.bundle, koja sadrži React JavaScript u minifikovanom formatu.

  3. Koristite komandu find . -print | grep -i ".bundle$" da biste pretražili JavaScript datoteku.

Da biste dalje analizirali JavaScript kod, kreirajte datoteku pod imenom index.html u istoj direktoriji sa sledećim kodom:

<script src="./index.android.bundle"></script>

Možete da otpremite datoteku na https://spaceraccoon.github.io/webpack-exploder/ ili pratite ove korake:

  1. Otvorite index.html datoteku u Google Chrome-u.

  2. Otvorite Developer Toolbar pritiskom na Command+Option+J za OS X ili Control+Shift+J za Windows.

  3. Kliknite na "Sources" u Developer Toolbar-u. Trebalo bi da vidite JavaScript datoteku koja je podeljena na foldere i datoteke, čineći glavni paket.

Ako pronađete datoteku pod nazivom index.android.bundle.map, moći ćete da analizirate izvorni kod u nekompresovanom formatu. Map datoteke sadrže izvorno mapiranje, što vam omogućava da mapirate kompresovane identifikatore.

Da biste pretražili osetljive akreditive i krajnje tačke, pratite ove korake:

  1. Identifikujte osetljive ključne reči za analizu JavaScript koda. React Native aplikacije često koriste usluge trećih strana kao što su Firebase, AWS S3 krajnje tačke, privatni ključevi itd.

  2. U ovom konkretnom slučaju, primećeno je da aplikacija koristi Dialogflow uslugu. Potražite obrazac povezan sa njenom konfiguracijom.

  3. Bilo je sreće što su osetljivi hard-kodirani akreditive pronađeni u JavaScript kodu tokom recon procesa.

Reference

{{#include ../../banners/hacktricks-training.md}}