[안드로이드 APK 진단] DIVA - 9.접근 제어 부재 파트 1

9 번째 문제, "9. ACCESS CONTROL ISSUES - PART 1"을 클릭한다.

목표를 보면 버튼을 클릭할 때 API 자격 증명을 접근할 수 있는데 앱을 실행하지 않고 해당 자격 증명에 접근해야 한다.

API 자격 증명을 보면 위 사진과 같다.

APK. 파일의 Manifest.xml 파일을 보면 위 사진과 같은데, activity는 intent-filter로 보호 된 것을 볼 수 있다. 그러나 절대 intenet-filter를 보호 메커니즘으로 사용하면 안 된다. 

intent-filter가 activity와 같은 어플리케이션 컴포넌트에 쓰였을 때 해당 컴포넌트는 공개적으로 export 되기 때문에 임의로 접근할 수 있게 되어 진다. 

   * 인텐트 필터와 구성 요소에 대해서는 다음 링크 참고 -> http://androidhuman.com/262

APP을 실행하지 않은 상태에서 위 사진에서 보여지는 명령어를 입력한다.

    > am = Activity Manager 

   > start = Activity 실행

   > 즉, DIVA 앱(jakhar.aseem.diva 패키지)의 APICredsActivity를 시작하라는 명령어이다.

DIVA 앱이 실행되지 않은 상태에서 명령어를 실행하면 API 자격 증명을 볼 수 있다.

Activity를 실행하는 좀 더 formal 한 명령어는 위 사진과 같다.

   > -n = Activity 이름(패키지 이름 포함)

   > -a = Action 이름