Ja det var sådan set Mofibo jeg tænkte på. Er på ferie, så kan ikke lige kigge på det før jeg er hjemme, men der må da være en måde at få det til at virke.

Jeg gjorde i dag et skægt fund. Efter at have erstattet certifikatet i Mofibo-applikationen kunne jeg jo godt læse requests når den kørte gennem Charles. Men af en eller anden grund godkender den stadig certifikatet på Mofibo's servere selvom det er min patchede app. Kan sagtens bruge den almindeligt...

(17-07-2014, 15:56)calvin Skrev: Det er bare normalt https i deres app, det er ikke med client cert, så det er helt som det burde være.

Altså hvis jeg ikke erstatter certifikatet i applikationen så kan jeg ikke sniffe på den med Charles. Den må jo på en måde tjekke om fingeraftrykket matcher den crt der ligger i APK-filen.

(17-07-2014, 17:07)calvin Skrev: Normal https er for at clienten er sikker på at hosten er ægte, serveren er ligeglad, med mindre der er tale om client-side SSL.

Jeg tror vi taler forbi hinanden. Klienten har en kopi af SSL certifikatet for den server den forbinder til. Hvis man præsenterer den for en server med et andet certifikat eller en anden CA (trusted eller ej) vil den ikke oprette forbindelse. Skifter man certifikatet i klienten ud med Charles' CA certifikat, kan den forbinde til Charles. Det vil sige at mofibo's certifikat ikke længere ligger i applikationen, hvorfor vil den så stadig forbinde til Mofibo?

Hvis der var tale om et klient-certifikat ville jeg jo ikke være nødt til at skifte det ud.

(17-07-2014, 23:02)calvin Skrev: Ahh ja, så taler vi forbi hinanden, sorry my bad :) Jeg blev forvirret af at du skrev:
"Men af en eller anden grund godkender den stadig certifikatet på Mofibo's servere"

Serveren er ligeglad, men ja app'et burde brokke sig. Kan være der er noget fallback?

Det er da meget muligt. Jeg synes bare at det er lidt skørt :P

Faldt lige over tråden og må sku sige at det er en god start guide. Er dog ikke selv begyndt på Android Reversing endnu, men kom til at tænke over det tideligere her i dag omkring at prøve det.

Og så finder man denne guide lidt senere på dagen, så det er da en guide jeg ville begynde på her de næste par dage og bruge

Nu kom jeg lige til at lege lidt med det her android reversing, da jeg skulle rode lidt med nogle api'er bag om danskebanks loginsystemer...
Men hver gang jeg prøver at rode med apktool, få den til at decompile apk-filen, får jeg bare smidt denne fejl i hovedet...

(27-03-2015, 22:17)BigJ Skrev: Øhmm.. Må jeg spørger hvorfor at du skriver /danskebank? Altså følgende virker fint for mig, med den nyeste version af Danske Bank app'et.

Kode:

java -jar apktool.jar d -f dk.danskebank.android.tribank.apk

Har lige hentet den nyeste version af apktool, den jeg havde var åbenbart outdated... det med /danskebank bagefter var fordi jeg troede den ville have en mappe den kunne outputte de decryptede filer til. Har så lige prøvet igen, men med samme fejl om at en fil har et forkert navn... still lookin :p

(28-03-2015, 00:28)BigJ Skrev: Prøv evt. og se om du kan med dem her - https://filetea.me/t1sgUOXz6CEToGbfNfpOP34wg
Lyder underligt at den giver dig en fejl hver gang.... :)

thanx man, much appreciated :D

Hvorfor ikke bare bruge en proxy og tjekke kaldende der bliver lavet først også analysere dataen? :P

Ps
https://github.com/fasmide/libDanskeBank