Комментарии 18
Оказалось, что с сервера можно извлечь даже те файлы, которые предназначались для пользователей без установленного приложения.
Может это не баг, а фича?) Теперь файлами можно делиться со всеми, достаточно просто отправить им ссылку.
Баг в том, что извлечь можно всё. Такие ссылки должны генерироваться не последовательно, а, например, с использованием UUIDv4. Ссылки от Google Docs — вполне себе пример хорошей реализации. Впрочем, даже Гугл при запуске goo.gl на это напарывался.
Это очень длинные ссылки. В смс есть ограничение по длинне.
Меня больше удивляет что файлы не удаляли сразу после первого скачивания. Ну и если честно — я вообще не понимаю почему в 2020 ещё пользуются смс, и тем более не могу придумать кейса когда надо отправить/получить ссылку (для этого закачать что-то и потом скачать) и при этом не иметь возможности использовать любое другое приложение для отправки файла напрямую… Да хоть даже почта. Ну Вацап/Телега раз есть номер телефона.
140 символов, а UUID — всего 36. Не так уж и много.
А если не только латинские буквы то 65 символов ограничение. А надо ещё описание добавить — что это и зачем. И к 36 символам uuid надо добавить 10 символов самого домена. В общем может и влезает, но явно места сжирает много.
Если что — я не оправдываю решение, а объясняю почему они так решили сделать. Оправдать использование смс я вообще никак не могу.
Как ни печально, но это было ожидаемо.
В прошлом уже ловили Go Ex Launcher на слежке за пользователями.
Мне кажется странным и не логичным только то, что данный разработчик все ещё имеет доступ к официальному магазину приложений. Да, согласен, они как бы исправили тогда свою ошибку. Но — факт уже тогда имелся. А сейчас — вторая попытка "монетизации" приложения.
Ставлю на то, что это далеко не финал
dd1efd
Чем они думали когда от нормальных хешей отказались? Понятно что от sha-512 пользователи будут в шоке, но не могли же они не думать о переборе.
Наверное о том, что кто-то будет этот код диктовать по телефону, или скриншотить и отправлять картинкой. Или отправлять по смс, и в любом из этих жизненных сценариев, нужна ссылка покороче. Зачем вообще делиться файлами, если есть почта, облака и телеграм?)
Go Launcher, Go SMS…
2021: Go Wallet!
User: Buratino (root),
Password: krox-pax-fix
![image](https://habrastorage.org/getpro/habr/comment_images/79c/c30/52a/79cc3052a527fba51f43011b0ed95920.jpg)
Приложение Go SMS Pro раскрывает данные миллионов пользователей по ссылкам