[안드로이드 APK 진단] DIVA - 3.안전하지 않은 데이터 저장 파트 1

3번째 문제인 "INSECURE DATA STORAGE - PART 1, 안전하지 않은 데이터 저장 파트 1"를 클릭한다.

목표를 보면 식별 정보가 어디에 어떻게 저장되는지, 관련 코드는 어떻게 되는지 알아내야 한다. 입력란을 보면 써드파티 서비스의 사용자 이름과 비밀번호를 입력하라고 하는데 이런 류의 어플은 실제로 사이트 별로 계정과 이름을 다르게 설정할 경우 외우는 것이 힘들 수 있기 때문에 자동 로그인을 위해 실제로 사용하기도 한다.

임의의 아이디와 비밀번호를 입력하면 성공적으로 저장되었다는 메시지가 나타난다.

adb shell을 이용해 DIVA 앱이 설치 된 대상 디바이스의 쉘을 얻는다. 안드로이드는 보통 어플 관련 데이터가 "/data/data/어플 패키지" 경로에 저장된다.

    > cd `ls | grep diva` 명령어를 통해 diva 앱의 패키지 경로로 이동한다.

    > 어플에서 사용중인 데이터들은 shared_prefs에 저장되는 경우가 빈번하다.

실제로 shared_prefs의 jakhar.aseem.diva_preferences.xml 파일을 보면 사용자가 입력한 계정과 비밀번호가 존재하는 것을 볼 수 있다.