[안드로이드 APK 진단] DIVA - 12.하드코딩 이슈 파트 2

12번 문제를 클릭하면 하드 코딩 된 정보를 찾으라고 한다. 일단 대충 게싱으로 때려 박으면 당연히 액세스 거부 오류가 발생한다.

JEB로 디컴파일을 해보면 문제에 해당 되는 클래스 코드가 다음과 같다.

사용자가 입력한 값을 DivaJni의 access 함수 파라미터로 사용하여 비교 후 분기가 나타난다.

DivaJni 코드를 보면 위 사진과 같은데 divajni 라는 라이브러리를 로딩한다.

jeb 프로젝트 탐색기의 라이브러리 폴더에서 해당 라이브러리를 검색 후 추출한다.

추출 된 라이브러리에서 문자열을 뽑아내면 그냥 딱 봐도 뭔가 수상한 문자열이 2개 보이는데 우선 첫 번째 문자열을 이용하여 액세스를 시도한다.

액세스 성공