Finding Secret Key Inside React Native Apps

Gimana perasaan kalian ketika sedang melakukan sniffing sebuah aplikasi, lalu ketika kita check pada HTTP Request nya misal di API Login/Register ternyata payloadnya ter encrypt, dan ketika kita coba utak atik requestnya jadi failed

Sedih bukan ? T_T, seperti case yang saya temukan kali ini saya menemukan payload di salah satu endpoint API nya pada key verificationCode yang bentuknya aneh dan ketika saya rubah lalu saya lakukan request ulang dan boom! error

lalu saya coba lagi ketika tidak saya rubah atau utak atik dan ketika saya coba lagi dia memunculkan error

Jadi dari kedua pesan ini bisa dipastikan bahwa verificationCode itu adalah berupa payload yang di encrypt selain key si verificationCode tersebut. Jadi anggaplah pada body tersebut mempunyai 3 key dibawah ini

Jadi si verificationCode itu berisi accounId dan password yang di encrypt.

Ok lanjut ke next step karena sekarang kita tahu bahwa payloadnya di encrypt jadi yang saya cari tau itu adalah pertama Methode cara Encryptnya.

Untuk mengetahui methode cara encryptnya pertama saya coba bongkar dulu Aplikasinya menggunakan apktool dengan command sebagai berikut

Setelah selesai akan menghasilkan folder bernamakan aplikasi yang di bongkar pakai apktools tersebut lalu kita buka foldernya, untuk membukanya disini saya pakai visual studio code. Setelah dibuka kita cari kata kuncinya langsung disini misal karena kita mau cari methode encrypt payload verificationCode maka “verificationCode” adalah kata kuncinya

Ok bisa diliat dari ss diatas ternyata kata kunci “verificationCode” ini ditemukan didalam file bernama index.android.bundle yang dimana artinya aplikasi ini dibuild menggunakan React Native

Ketika dibuka index.android.bundle nya saya beruntung karena isinya hanya di minify saja tidak di compile ke Hermes VM bytecode (HBC), karena kalau misal di compile ke hermes kalian perlu gerakan tambahan pencak silat dan untuk decompilenya saya menggunakan ini jika index.android.bundlenya ter compile ke HBC hermes-dec.

Ok lanjoot karena scriptnya hanya terminify dari ss yang saya tunjukan saja buat yang biasa baca script javascript pasti paham dan sudah mudah dibaca.

kita bisa baca bahwa

fungsi encrypt ini terdapat 2 parameter dan yang saya ketahui di parameter pertama itu berupa encryption key nya lalu parameter kedua adalah message/payload yang akan di encrypt, seperti tebakan saya di awal bahwa yang di encrypt itu adalah payload body selain “verificationCode”.

Dan dari yang kita tau bahwa variable i terduga adalah encryption keynya, dan variable i berasal dari

Tapi dari script diatas walaupun ada kode hex saya beranggapan bahwa itu bukan keynya tapi string itu di proses pada fungsi getGeneratedCode() lalu baru menghasilkan sebuah encryption key yang benar. Tapi, karena misi pertama kita adalah buat cari tau methode encryptnya kita cari tahu dulu apa yang ada didalem fungsi encrypt() tersebut, jadi kita cari di vscode

Dan ketemu bahwa encryptnya menggunakan AES.encrypt, tapi kita tidak tahu dia pakai modules atau bikin modules sendiri untuk prosesnya. Nah, untuk mengetahuinya simple pertama copy inti scriptnya, disini yang saya copy adalah

lalu saya coba cari di github dan kalau ada dan banyak yang pakai kemungkinan modules yang dipakai sama, tapi kalau unique dan notfound kemungkinan aplikasinya pake modules bikinin sendiri dan kita harus tambah gerakan silat lagi, ok langsung kita cari di github

Setelah dicek bisa kalian lihat ternyata banyak juga yang memakai dan polanya sama yaitu “AES.encrypt(“ lalu didalam fungsi AES.encrypt terdapat 2 parameter yaitu parameter pertama messagenya dan parameter kedua adalah secret keynya, dan terakhir penggunaan fungsi .toString() untuk merubah response encryptnya kedalam bentuk string

Setelah dicek lagi aplikasinya menggunakan modules dengan nama “crypto-js” langsung kita coba saja, btw saya nyobanya di repl.it males dilocal menuh menuhin memory aowkaowkoawokawkaw.

Dan untuk nyobanya pertama saya akan membuat fungsi decryptnya jadi agar bisa tau terlebih dahulu encryption keynya bener atau ngga, jadi pertama saya coba pakai kode hex yang ada pada parameter getGeneratedCode()

Dan hasilnya sesuai dugaan saya tidak ada result apa apa yang kemungkinan keynya salah, jadi saya coba mereka reka fungsi si getGeneratedCode(), tapi nampaknya aga sulit jadi saya coba cara gampang saja saya bikin alert pada variable i

Lalu saya build APK nya pake apktool

Lalu saya sign apknya pake uber-apk-signer

Lalu install kembali aplikasinya dan jalankan seperti biasa dan ikutin flownya, misal kaya saya disini alertnya saya bikin setelah encrypt dan decrypt maka saya jalankan sampe create akun dan boom

Muncul secret key yang asli, tapi untuk memastikan bahwa ini static dan tidak berubah ubah saya coba berulang kali flownya. Dan setelah saya coba beberapa kali betul bahwa ini tidak berubah ubah, jadi saya langsung coba ke script yang tadi saya sudah buat di repl.it

Dan boom! ternyata encryption keynya sesuai, sekarang kita coba request ulang dari burpnya pakai repeater

Dan ya boom boom boom!!! mission succes, saya sudah bisa melakukan request dan sukses mendaftarkan akun!