@Yoski はてな別室ツイキャスの中の人。Twitter やってるよ

@Yoski はてな別室
ツイキャスの中の人。Twitter やってるよ http://twitter.com/yoski
2013-03-22
Appleのサーバー認証を通過するアプリ内課金のクラックツールが出回っているらしい
アプリ内課金のクラックツールで有名なのは iAP Cracker で、これは偽署名を作成することで「サーバー側認証を行なっていない」実装のアプリについてアプリ内課金を回避ししてしまうツールです。

urus のリポジトリにあるやつが有名で、これを使うとデフォルトで Transaction ID が「com.urus.iap.xxxx」になるので、まぁもろバレなわけですが・・・。

 

iAP Cracker については、iOS 6.1 で Apple が対策をいれたため使えなくなりました。

代わりに「LocalIAPStore」というものが出まわってます。ただ、これも「サーバー側認証」されるとダメなので、アプリ開発者がちゃんとサーバー側で認証していれば問題ありません。

 

ところが、最近サーバー側認証を回避するアプリ内課金のクラッキングツールが出回っているようです。

 

アプリ内課金のサーバー認証では、iPhoneなどでアプリ内課金を行った際に発行される「レシート」というものをサーバー側で「Apple のレシート認証サーバー」に渡して、このレシートが正しいものかどうか判定しています。

 

で、このツールは「正しいレシート」を作成することで、サーバー認証を通過してしまいます。

どうやって「正しいレシート」を作成するかというと、全く関係ないアプリのアプリ内課金を使っています。

以下、そのレシートの内容。

 

{
"original-purchase-date-pst" = "2012-07-12 05:54:35 America/Los_Angeles";
"purchase-date-ms" = "1342097675882";
"original-transaction-id" = "1700000xxxxx";
"bvrs" = "1.4";
"app-item-id" = "450542233";
"transaction-id" = "1700000xxxxx";
"quantity" = "1";
"original-purchase-date-ms" = "1342097675882";
"item-id" = "534185042";
"version-external-identifier" = "9051236";
"product-id" = "com.zeptolab.ctrbonus.superpower1";
"purchase-date" = "2012-07-12 12:54:35 Etc/GMT";
"original-purchase-date" = "2012-07-12 12:54:35 Etc/GMT";
"bid" = "com.zeptolab.ctrexperiments";
"purchase-date-pst" = "2012-07-12 05:54:35 America/Los_Angeles";
}


つまり、アプリにてアプリ内課金を実施すると、まったく関係ないアプリのレシートを送信してくるわけです。
で、これが（全部ではないのですが）たまに Apple の認証を通過してしまいます。non-consumable なんですかね。

※追記）成功率は非常に低いことがわかりました。ので、いたずらレベルですね。

この踏み台に使っているアプリはこちら。

https://itunes.apple.com/app/id450542233

bid にある通りなんですが、ZeptoLab というところが作ってるアプリですね。ここが仕掛けてるのか踏み台にされているのかはわかりません。ていうか、Google おすすめの有名パズルゲームなんで、踏み台にされてんでしょうね。

 

全然関係ないレシート送付して課金成功するわけないじゃんｗｗｗｗって思うかもしれませんが、レシートチェック後の product-id をちゃんと検証してないサーバーを狙った攻撃なんで、成功するところはあるでしょう。（ていうか、俺もちょっと落とし穴あって塞いだｗ）


なので、まぁ、iPhone のアプリ内課金では

- サーバー側でのレシート認証
- 認証後のレシートの product id などのチェック

が必須ですので、一応メモ。



＃ていうか、Jailbreak まわり詳しくないんで、詳しい人教えてくださいｗ

Hasil (Bahasa Indonesia) 1:

Orang-orang di ruang yang terpisah Hatena TwitCasting
@ yoski. retak alat in-app billing melalui server otentikasi http://twitter.com/yoski

2013/03/22 alat retak terkenal apel akuntansi dalam
app tampaknya mengambang around'm melakukan twitter di IAP cracker , ini adalah alat yang akan menghindari penagihan di-app "tidak dilakukan otentikasi server-side" dengan membuat tanda tangan palsu untuk implementasi aplikasi.

Guy dalam repositori urus terkenal,Id transaksi menjadi "com.urus.iap.xxxx" secara default ketika menggunakan ini, saya akan alasan bahwa Mamoro Bale ....



Untuk IAP cracker, saya tidak lagi tersedia karena apel telah menempatkan langkah-langkah di ios 6.1.

Hal yang disebut "localiapstore" memiliki sekitar sebagai gantinya. Namun, karena itu buruk ini juga "otentikasi server-side," Anda tidak memiliki pengembang aplikasi masalah jika otentikasi pada sisi server dengan benar.



Namun,Cracking alat in-app billing untuk menghindari otentikasi server-side tampaknya mengambang sekitar baru-baru ini.



Server otentikasi in-app billing, dengan melewatkan ke "penerimaan otentikasi server dari apel" pada sisi server dimaksudkan untuk diterbitkan ketika Anda membuat in-app billing, seperti iphone disebut "penerimaan", penerimaan ini benar Aku bertekad apakah atau tidak.



Is, dengan menciptakan sebuah "tanda terima yang benar", alat ini akan melewati server otentikasi.

Jika Anda mengatakan Anda ingin membuat "tanda terima yang benar" Bagaimana saya, saya telah menggunakan aplikasi penagihan di-app tidak masalah sama sekali.

Selanjutnya, isi tanda terima.




{"Original-beli-date-pst" = "2012-07-12 05:54:35 America / Los_Angeles";
"pembelian-date-ms" = "1342097675882";
"original-transaksi -id "=" 1700000xxxxx ";
" bvrs "=" 1.4 ";
" app-item-id "=" 450542233 ";
" Transaksi-id "=" 1700000xxxxx ";
" kuantitas "=" 1 ";
"Original-Pembelian-kencan-ms" = "1342097675882";
"item-id" = "534185042";
"versi-external-identifier" = "9051236";
"produk-id" = "com.zeptolab. ctrbonus.superpower1 ";
" pembelian-kencan "=" 2012-07-12 12:54:35 etc / GMT ";
" Original-Pembelian-kencan "=" 2012-07-12 00:54:35 etc / GMT ";
" tawaran "=" com.zeptolab.ctrexperiments ";
" pembelian-kencan-PST "=" 2012-07-12 05:54:35 America / Los_Angeles ";}



つまり,Ketika Anda melakukan in-app billing di app, itu tidak datang untuk mengirim diterimanya permohonan tidak masalah sama sekali.
Hal ini, ini (tidak semua tapi) itu akan melewati otentikasi apel sesekali. Saya kira apa yang non-konsumsi.

※ postscript) tingkat keberhasilan ditemukan sangat rendah. Karena, aku tingkat nakal.

Aplikasi yang Anda gunakan di bangku ini di sini.

Https :/ / itunes.apple.com/app/id450542233

tapi aku jalan itu dalam penawaran,Ini adalah sebuah aplikasi yang tempat yang disebut zeptolab membuat. Saya tidak tahu apakah mereka adalah batu loncatan ke sini apakah mereka mengatasi. Maksudku, permainan puzzle yang terkenal google direkomendasikan NDE, saya akan lakukan adalah untuk loncatan.



Anda mungkin berpikir aku wwww ada tidak tidak untuk mengisi sukses dengan penerimaan yang dikirim tidak peduli sama sekali, tapi serangan itu ditujukan pada server yang tidak memvalidasi dengan benar produk-id penerimaan setelah memeriksa NDE, di mana untuk keberhasilan sehingga Anda harus. Maksudku (,Saya juga jadi w)


terpasang ada perangkap sedikit, baik, in-app iphone penagihan

- otentikasi penerimaan pada sisi server
- cek

seperti id produk dari penerimaan pasca-otentikasi karena diperlukan , perhatikan waktu.



# Maksudku, Anda tidak akrab dengan jailbreak sekitar NDE, w tolong katakan padaku orang rinci

Hasil (Bahasa Indonesia) 2:

@Yoski Hatena terpisah
twitcasting tinggal di orang. Twitter saya http://twitter.com/yoski
2013-03-22
tampaknya beredar di app pembelian untuk pergi melalui Apple server otentikasi retak alat
terkenal dalam app penagihan retak alat iAP Cracker, ini adalah dengan membuat tanda tangan palsu "tidak melakukan sisi server otentikasi ' tentang pelaksanaan penagihan di-app app menghindari dan alat akan.

adalah repositori dari perkawinan, terkenal,ID transaksi menjadi 'com.urus.iap.xxxx' dan menggunakannya secara default, jadi baik kerapuhan Valle, tidak...



tentang iAP Cracker mengambil langkah-langkah untuk Apple iOS 6.1 untuk lebih lama.

Sebaliknya memadamkan adalah 'LocalIAPStore'. Hanya ini sisi server otentikasi bukanlah masalah begitu buruk, jika dikonfirmasi pada server side dan app pengembang.



,Dalam app pembelian untuk menghindari sisi server otentikasi baru saja retak alat masih ada.



Penerimaan ini harus menentukan apakah atau tidak apa tanda terima akan dikeluarkan server otentikasi di-app penagihan selama di-app penagihan di iPhone, termasuk satu lulus Apple penerimaan server otentikasi pada sisi server.



, Alat ini adalah untuk membuat tanda terima yang tepat, melewati otentikasi server.

Mengatakan bagaimana membuat tepat kuitansi, dengan cukup tidak terkait aplikasi di app pembelian.

Isi dari penerimaan.



{
"original-purchase-date-pst"="2012-07-12 5:54:35 Amerika Los_Angeles";
"pembelian-tanggal-ms" = "1342097675882";
"asli-transaksi-id" = "1700000 xxxxx";
"bvrs" = "1.4";
"app-item-id" = "450542233";
"ID transaksi" =" 1700000 xxxxx ";
" kuantitas "="1";
"asli-pembelian-tanggal-ms" = "1342097675882";
"item id" = "534185042";
"versi-eksternal-identifier" = "9051236";
"id Produk" = "com.zeptolab.ctrbonus.superpower1";
"tanggal pembelian" = "2012-07-12 12:54:35 dll GMT";
"asli-pembelian-date" = "2012-07-12 12:54:35 dll GMT";
"bid" = "com.zeptolab.ctrexperiments";
"pembelian-tanggal-pst" = "2012-07-12:05:54: 35 Amerika Los_Angeles";
}


つまり、App dilakukan di app penagihan tidak mengirimkan tanda terima apps sama sekali tidak terkait.
Dalam hal ini (tetapi tidak semua) kadang-kadang akan lulus sertifikasi Apple. Saya non-habis?.

* Menambahkan ） menemukan bahwa tingkat keberhasilan sangat rendah. Jadi, sangat nakal tingkat.

Klik di sini untuk aplikasi yang menggunakan batu loncatan ini.

https://itunes.apple.com/app/id450542233

tapi apa tawaranHal ini membuat sebuah aplikasi bernama ZeptoLab. Apakah aku di sini telah menjadi batu loncatan untuk saya tidak tahu. Menyembul di sekitar, aku Google Feature permainan puzzle yang terkenal, Tebak aku sedang pada batu loncatan.



Sukses penagihan, sama sekali tidak penerimaan dikirim tidak aku akan di mana aku wwww saya mungkin tidak dan memvalidasi menerima cek setelah serangan server id produk, untuk berhasil. （ mengadukW memblokir saya bahkan sedikit perangkap ）


, jadi adalah di dalam app pembelian, iPhone

-penerimaan otentikasi pada sisi server
-, seperti id produk setelah menerima cek

catatan diperlukan, sehingga begitu.



# Yang mengaduk Jailbreak tidak sekitar, Harap beritahu kami lebih orang w