monkeystador hat geschrieben: ↑So 4. Jun 2023, 19:59
APKs kann man ohne PRobleme zerlegen. Aber neu zusammenbauen hab ich nicht probiert. Ist vermutlich auch möglich wenn ich nur den JS Code tauschen wollte. aber der JS code ist nicht lesbar.
Bitte nicht den Fehler machen und Javascript mit Java verwechseln
Ich habe die APK auch mal dekompiliert und mit einem Kumpel, der Android Apps programmiert, angeschaut. Er hat auch bestätigt, dass der Code absichtlich verschleiert ist und auch der decompiler dadurch nicht alles dekompilieren konnte. Witzig finde ich, dass er u.A. anscheinend Code aus einem github von einem Berliner benutzt:
https://github.com/nisrulz/screenshott Warum auch immer er das braucht
Der Großteil des wichtigen Codes wird wohl im "anet" Ordner sein.
Am interessantesten fand ich aber diese Funktion, die ich in einer der größeren Java Dateien gefunden habe. Ist nur eine Vermutung, aber da dort die aktuelle Zeit abgefragt wird (System.currentTimeMillis()) und dort die Bibliothek für einen HTTPConnect mit aufgerufen wird, denke ich, dass die Alrendo intern einen kleinen Webserver hat, der Befehle entgegen nimmt.
Wenn die App jetzt "selbst" geschrieben ist (so wie der Kontakt von Castertroy angeblich meint) dann muss er eine Dokumentation vorliegen haben. Ich habe castetroy mal darum gebeten nach dieser zu fragen. Viel Hoffnung mache ich mir da nicht, da es natürlich sein kann, dass das tatsächlich ein Alrendo Mitarbeiter ist und er dementsprechend unter einer NDA steht.
Edit: Je tiefer ich grabe, desto mehr deutet darauf hin, dass in der VCU intern ein Webserver läuft. Es wird sehr oft das veraltete Protokoll "SPDY" benutzt, welcher mal als Nachfolger von HTTP gelten soll.
Wie sorgt man dafür, nicht jeder auf dein System kommt? Nutze veraltete Technologie! Security by obscurity.
Das Stückchen chinesicher Text im Quellcode heißt "Nicht verfügbar" was ja zum "Session" davor passt.