🧡 🤶🏿 🤢 "सामाजिक निगरानी।" स्कोर 1: 0 हमारे पक्ष में 🐠 👵🏽 🙅🏻

परिचय

आवेदन बाहर आया → एक शांत हॉरर देखा → नकारात्मक समीक्षा लिखना शुरू किया → अलमारियों द्वारा क्रमबद्ध → आवेदन हटा दिया गया था (संशोधन के लिए भेजा गया)।

सभी को नमस्कार, इस लेख में, जब सब कुछ बीत चुका है, मैं आपको उपरोक्त दो प्रमुख चरणों के बारे में बताना चाहता हूं।

किस तरह का आवेदन यहां पढ़ा जा सकता है ।
और बहाने के बारे में और यहाँ संशोधन के लिए भेज रहा है ।

कटौती के तहत, हम आपके साथ वही देखेंगे जो हमने एप्लिकेशन के विश्लेषण की शुरुआत में देखी थी और कोड से सभी दिलचस्प बिंदुओं पर चलते हैं। हम टपका हुआ आवेदन का आनंद लेंगे और स्वीकार नहीं करेंगे कि "हमने यह कब तक देखा"।

पृष्ठभूमि

यह सब मेरे लिए टेलीग्राम चैनल " आईटी और सीओपीएम " में शुरू हुआ। मैंने तुरंत Play Market और apk के नीचे दिए गए एप्लिकेशन के लिंक के साथ एक पोस्ट नहीं देखा । लगभग 30 मिनट के बाद, इस चैनल में पदों की संख्या से, मैंने पढ़ने का फैसला किया। उस समय, लोगों ने पहले ही एप्लिकेशन को विघटित कर दिया था और सक्रिय रूप से देखा था कि डेटा कहां भेजा गया था। उन्होंने कुछ एंडपॉइंट्स निकाले, मेजबानों, एक टोकन, कोड के टुकड़ों के स्क्रीनशॉट पोस्ट करना शुरू कर दिया। एपीके के लागू होने के बाद , उन्होंने किसी को GitHub पर विघटित कोड प्रकाशित करने के लिए कहा - एक घंटे के बाद इसे पोस्ट किया गया । फिर मैं जुड़ा ...

मुख्य हिस्सा

समर्थन

बहुत शुरुआत में, मैं यह कहना चाहता हूं कि एप्लिकेशन के अंदर Identix.one चेहरे की पहचान सेवा एपीआई के साथ काम करने के लिए एक टोकन था । ये लोग इसलिए काम करते हैं कि सबसे पहले उन्हें उपयोगकर्ता डेटाबेस को फ़ोटो और डेटा के साथ लोड करने की आवश्यकता होती है, और उसके बाद ही वे मान्यता के लिए फ़ोटो भेज सकते हैं। टोकन एप्लिकेशन में था, क्लाइंट के माध्यम से इस सेवा के एपीआई के साथ काम कर रहा था , न कि आपके बैकएंड पर। इस प्रकार, किसी भी उपयोगकर्ता ने एक टोकन को फाड़ दिया, वह रूसी संघ के नागरिकों की किसी भी तस्वीर को अपलोड करना शुरू कर सकता है और उनके बारे में जानकारी प्राप्त कर सकता है। अद्भुत लग रहा है। इस सेवा के टैरिफ को देखने के बाद, मैंने महसूस किया कि यह आमतौर पर सीसीटीवी कैमरों के लिए है। प्रत्येक कैमरे के लिए आपको एक अच्छी राशि का भुगतान करना पड़ता है और आश्चर्य होता है कि इसके लिए आवेदन डेवलपर्स को कितना भुगतान करना पड़ा।

एपीआई डॉक्यूमेंट सेक्शन में जाने से मुझे लोडेड यूजर बेस और अन्य चीजें हासिल करना दिलचस्प लगा। इसलिए मैंने अनुरोध को पूरा करने और टोकन की जांच करने का फैसला किया। सौभाग्य से या दुर्भाग्य से, टोकन को अक्षम कर दिया गया था, जिसे मैंने तुरंत ट्विटर के माध्यम से आईटी और सीओपीएम चैनल के मालिक को सूचित किया था । मैंने अपना अध्ययन एक पीठ के साथ शुरू किया, क्योंकि मैं वहां कुछ दिलचस्प खोजने की योजना बना रहा था ( उदाहरण के लिए एसक्यूएल चोट )। हमारे पास पहले से ही मेजबान और व्यवस्थापक पैनल में प्रवेश करने के लिए एक लिंक था। एडमिन एरिया में और गया। प्रश्नों को देखते हुए तुरंत स्पष्ट हो गया कि यह किसी प्रकार का वायुमंडलीय ढांचा है

। जब मैंने अनुरोधों में जंगली गधे को देखा, तो यह कैसे निशान था कि कौन सा बटन दबाया गया था, फॉर्म में कौन सा झंडा लगाया गया था, मैं उदास था। मैं इसमें नहीं उतरना चाहता था और मैंने जो अधिकतम काम किया था - मैंने "एटमॉस्फियर फ्रेमवर्क CVE" को Google में डाल दिया। जल्दी से सुर्खियों में देखते हुए, मैंने एक्सएसएस को छोड़कर कुछ भी दिलचस्प नहीं देखा और आगे बढ़ गया। और फिर मैं अन्य समापन बिंदुओं पर गया, जिन्हें हम जानते हैं।

ये समापन बिंदु आपके काम को शुरू करने और समाप्त करने के लिए पेन थे। जो काम में बिताए गए समय की सीमा को चिह्नित करेगा। पहले से ही एक कोड था। मैंने प्रोजेक्ट खोला, सही जगह पर स्क्रब किया और मापदंडों का अध्ययन करना शुरू किया। इनमें डिवाइसईयूआई , आइडक्सिड , अक्षांश और देशांतर थे। यदि अंतिम दो के साथ यह तुरंत स्पष्ट है, तो पहले के साथ - नहीं। अनुरोध के सफल समापन के लिए एन की संख्या को खर्च करने के बाद , मैंने एक्सेस से इनकार कर दिया ।

फिर, अध्ययन की वस्तु को समझने के लिए, मैंने स्वयं एप्लिकेशन डाउनलोड करने का निर्णय लिया। मैंने इसे डाउनलोड किया है, लेकिन मैं अब और लॉग इन नहीं कर सकता ... तब तक उन्होंने बैक-अप डाल दिया था (लेकिन मुझे अभी तक इसके बारे में पता नहीं था)। GitHub

पर प्रोजेक्ट कोड नहीं खोला है , लेकिन पूरी तरह से विचारों में, मैंने नए समापन बिंदु की तलाश शुरू कर दी है। मिल गया! उपयुक्त नाम: / एपीआई / कोविद / डिवाइस ...

मैंने पहले से ही इन पेन में शोध करना शुरू कर दिया। लंबे समय तक मुझे समझ नहीं आया कि प्राधिकरण कैसे जाता है, टोकन के साथ हेडर कहां है या कुछ और। और फिर यह मुझ पर dawned ... वह चला गया है! यह सुनिश्चित करने के बाद, प्रसंस्करण और अनुरोधों के निर्माण का विश्लेषण करने के बाद, मैंने बैकएंड भाग पर अपना निष्कर्ष बनाया और इसे फिर से ट्विटर पर भेज दिया ।

बैकएंड भाग पर निष्कर्ष : पंजीकरण आपके डिवाइस (फोन) के बारे में जानकारी भेजकर होता है। इसमें पता, फोन नंबर, नाम आदि शामिल हैं। पंजीकरण के तुरंत बाद, उन्हें आपसे एक फोटो की आवश्यकता होती है और इसे आपकी प्रोफ़ाइल पर अपलोड करना होता है। वास्तव में, यह इंगित करने के लिए कि यह किसका फोटो है, अनुरोध में एक अतिरिक्त पैरामीटर इंगित किया गया है - IMEI । यह डिवाइस मॉडल के डिवाइसआईड फील्ड में स्थित हैहमने पंजीकरण के पहले चरण में भेजा है। कोई मान्यता नहीं है कि IMEI आप का है। यह किसी और को भेजने के लायक है - और आप सफलतापूर्वक अनुरोध को पूरा करते हैं, कथित रूप से किसी अन्य डिवाइस से। यह उल्लेखनीय है कि एंडपॉइंट्स के बीच / एपीआई / कोविद / डिवाइस / पासवर्ड है , हालांकि, प्रतिक्रिया का प्रसंस्करण निम्नानुसार है:

डिवाइस को पंजीकृत करने के बाद, एपीआई ऑर्टकोड को वापस कर देता है , लेकिन, दुर्भाग्य से, यह कोड ऑब्जेक्ट फ़ील्ड में संग्रहीत होता है और वहां धूल जमा होता है। अन्य अनुरोधों के गठन में शामिल नहीं है।

इस प्रकार, प्रमाणीकरण के बिना, IMEI जानने वाला कोई भी उपयोगकर्ताएक व्यक्ति (या इसे उठा / छांट कर निकाल सकता है) एक गलत भू-स्थान भेज सकता है, एक फोटो अपलोड कर सकता है, कार्य दिवस की शुरुआत के बारे में स्थिति भेज सकता है, और इसी तरह।

मैं इस तरह के एक मजेदार कार्यान्वयन के साथ खेलना पसंद करूंगा, लेकिन अफसोस, सब कुछ बंद हो गया।

उस समय से, मैंने पूरी तरह से कोड में भाग लेना शुरू किया और यह वर्णन किया कि मैं अपने टेलीग्राम चैनल में क्या देखता हूं । यह पैराग्राफ के बीच किसी भी संबंध के बिना पूर्ण बकवास निकला, लेकिन इस पोस्ट के बाद मुझे इसे फिर से लिखने और इसे पठनीय बनाने के लिए ताकत (पहले से ही 2-3 रातें) मिली थीं।

आवेदन पार्सिंग

यह तुरंत ध्यान देने योग्य है कि इस समय तक एप्लिकेशन काम नहीं कर रहा था। इसलिए, मुझे नहीं पता था कि यह दृश्य हो सकता है। उन्होंने सब कुछ नेत्रहीन और कोड से अध्ययन किया, जो सभी से दूर था! हम सभी जानते हैं कि विघटन क्या होता है, लेकिन जो हुआ वह कुछ निष्कर्ष निकालने के लिए पर्याप्त था।

एप्लिकेशन आपके डिवाइस, नाम, फोन नंबर, पते के बारे में जानकारी संग्रहीत करता है। टिप्पणियों जैसे अस्पष्ट क्षेत्र हैं । और दिलचस्प हैं - एक डॉक्टर।

चेहरों की पहचान के लिए, पहचान सेवा का उपयोग किया जाता है (पीछे के भाग से समान पैरामीटर)। यह आपको अपलोड की गई फोटो से उम्र, लिंग और अन्य जानकारी वापस करने की अनुमति देता है। एक व्यक्ति की एक विशिष्ट पहचानकर्ता है जो अनुप्रयोग के अंदर उपयोग की जाती है।

नेविगेशन के लिए दो प्रकार के उपकरणों का उपयोग किया जाता है: ब्लूटूथ, वाईफाई। दोनों का एक नाम और आरएसएसआई (सिग्नल की गुणवत्ता, एक बिंदु की दूरी के बारे में बात करना) है।

आपके जियोलोकेशन को Google और GPS मॉड्यूल के लिए धन्यवाद मिलता है ।

विभिन्न प्रकार की संग्रहीत जानकारी के बीच एक स्थान है। हैरानी की बात यह है कि इसके पास भारी संख्या में खेत हैं। बैटरी स्तर सहित, चरणों की संख्या (इसके लिए अलग मॉडल के बावजूद) और अधिक।

सेटिंग्स में, आप टेलीमेट्री अंतराल सेट कर सकते हैं। संग्रह और शिपिंग दोनों। इन मापदंडों को बदलने की क्षमता के बारे में निश्चित नहीं है।

तीन अलग-अलग प्रकार के विशिष्ट पहचानकर्ता हैं:

IMEI डिवाइस।
डिवाइस आईडी (अध्ययन नहीं किया गया)।
वाईफाई का मैक एड्रेस।

इस प्रकार, आईएमईआई के हस्तांतरण और चयन के बारे में मैंने जो कुछ ऊपर लिखा है, वह समझने के लिए एक सरलीकरण है । यह वास्तव में तीन पहचानकर्ताओं में से एक है।

आपकी आईडी इस बात पर निर्भर करती है कि आपके पास कौन सा एसडीके है । सीधे शब्दों में कहें, क्या एक या दूसरे प्रकार के विशिष्ट पहचानकर्ता को प्राप्त करना संभव है। एप्लिकेशन डेवलपर्स खुद ही उनमें उलझे हुए हैं और एक नाम में परिवर्तित नहीं हो सकते हैं।

एकमात्र जगह मैंने लेख में कोड डाला।

if (Build.VERSION.SDK_INT >= 29) {
    return getMac(context);
}
return getImei(context);

और getImei के अंदर , यहाँ एक है:

if (Build.VERSION.SDK_INT >= 26) {
    str = telephonyManager.getImei();
} else {
    str = telephonyManager.getDeviceId();
}

एप्लिकेशन को एक सिम कार्ड नंबर भी मिल सकता है, लेकिन केवल मुश्किल मामलों में। एक अवसर है - यह होगा।

एक QR कोड टेक्स्ट आईडी के साथ जेनरेट होता है , जो तीन प्रकार का हो सकता है। इस विषय के साथ-साथ फेस रिकग्निशन सर्विस पर भी किसी ने बहस की है। मैं फोकस नहीं करता ।

एप्लिकेशन की एक दिलचस्प विशेषता डिवाइस पर आपके लिए पुश नोटिफिकेशन है। डेवलपर्स कमांड को दूरस्थ रूप से भेज सकते हैं और वे आपके द्वारा निष्पादित किए जाएंगे। टीमों में से एक को OPEN_CAMERA कहा जाता है । एक और - SERVER_ADDRESS_KEY - यहाँ, सबसे अधिक संभावना है, टेलीग्राम के साथ सादृश्य द्वारा । जब इसे अवरुद्ध किया गया, तो इसने सभी उपयोगकर्ताओं को नए आईपी भेजेपते और हम मैसेंजर का उपयोग करना जारी रखते हैं। इसके अलावा, वे दूर से टेलीमेट्री भेजने और इकट्ठा करने के लिए अंतराल सेट कर सकते हैं। यहां संभावित पुश नोटिफिकेशन के बारे में बताया गया है ।

आप निश्चित रूप से अवतार के बारे में बात कर सकते हैं, इसे कैसे घुमाया जा सकता है, वे स्थानीय रूप से इसे कैसे बचाते हैं, वे इसे कैसे सामान्य करते हैं। आप एप्लिकेशन के एक ऑटो-अपडेट करने की इच्छा के बारे में बात कर सकते हैं, लेकिन आपके पास समय नहीं है, नंबर से डायलर में जाने की क्षमता के बारे में, संपर्कों की एक सूची बनाए रखना (सबसे आदिम पता पुस्तिका नाम और नंबर है), इस तथ्य के बारे में कि वे सक्रिय फ़ाइल बिंदुओं की संख्या के साथ बातचीत करते हैं। लेकिन यह सब ऊब गया है।

निष्कर्ष

आप जानते हैं, मैं यह नहीं कहता कि वे कितने बुरे हैं, मैंने यह नहीं कहा कि वे कितने अच्छे हैं। हर कोई अपने लिए एक निष्कर्ष निकालेगा। महत्वपूर्ण खामियों, कमजोरियों और जासूसी की बातें जो मैंने आपको बताई हैं। मैं केवल यह कह सकता हूं कि समय सीमा के बावजूद, किसी भी मामले में स्पष्ट रूप से कमजोर आवेदन के विकास की अनुमति नहीं दी जानी चाहिए।

मैं लोगों के सामंजस्य पर ध्यान नहीं दे सकता। सभी ने अपने निष्कर्षों को साझा करना शुरू कर दिया, सक्रिय हो गए, और जो ऐसा नहीं कर सके - समीक्षाओं में 1 डाल दिया । मेरे द्वारा 4207 इकाइयाँ यथासंभव दर्ज की गईं और अन्य रेटिंगों की अनुपस्थिति (मेरी राय में)।

ड्राफ्ट के साथ एक ही भ्रमपूर्ण संदेश और समर्थन पर मूल निष्कर्ष मेरे टेलीग्राम चैनल में हैं, और यह प्रोफ़ाइल में लिंक के बीच है।

अंत में मैं दिखाना चाहता हूँ कि यह "अवैध" होने का एक समारोह है है मैक उनके कोड से पता और पर एक ही stackoverflow (धन्यवाद ntoskrnl):

और हमेशा की तरह, यहाँ तक पढ़ने के लिए धन्यवाद!

PS कोई भी गलती कर सकता है और मैं कोई अपवाद नहीं हूं। शायद कुछ गलत था, शायद कार्यान्वयन को काफी समझ में नहीं आया। अब वे आएंगे और कहेंगे कि पंजीकरण के दौरान आईपी को याद किया जाता है और किसी अन्य व्यक्ति के लिए अनुरोधों को निष्पादित करना असंभव है, हुह! और मैं जवाब दूंगा कि यह बकवास है और फिर मालिक खुद ही मोबाइल नेटवर्क को फिर से कनेक्ट करने के दौरान एक्सेस खो देगा ... सामान्य तौर पर, आप समझते हैं, टिप्पणियाँ खुली हैं!