华为 AppGallery 应用市场出现大 Bug，付费应用免费下载

2022-05-1916:21:31 发表评论

摘要

自从华为被切断使用 Google 全家桶后，日子就不好过了，开始着手推广自己的 AppGallery，结果最近悲剧了，被发掘可以免费下载上面的付费应用，0 元购爽啊，那么是怎么回事呢？请看本篇文章……

分享至：

开篇寄语

自从华为被切断使用 Google 全家桶后，日子就不好过了，开始着手推广自己的 AppGallery，结果最近悲剧了，被发掘可以免费下载上面的付费应用，0 元购爽啊，那么是怎么回事呢？请看本篇文章。

前情提要

《华为“全新”系统鸿蒙HarmonyOS被踢爆，原来就是安卓改版》

内容详情

据 Android Police 所说，Android 开发人员 Dylan Roussel 在查看该应用商店 API 时发现了一个漏洞，该漏洞导致它返回免费和付费应用程序的 APK 下载链接。他能够通过链接下载上述应用程序，安装和使用它们没有任何麻烦。

为了确保这不是一个应用程序的许可证验证问题，他对多个应用程序重复了这个过程——结果是一样的，确认这个漏洞确实是华为的问题。

除了华为和开发者可能会损失收入外，盗版应用程序还可以利用该漏洞访问优质游戏，用于可疑目的。 Roussel 在二月份发现漏洞后不久就联系了华为。他给了他们 5 周的时间来解决这个问题，但在经过了漫长的 13 周等待后，仍然没有消息，他终于公开了他的发现。

如果是在华为 AppGallery 上拥有付费应用的开发者，绝对应该考虑为软件添加额外的保护手段，例如 AppGallery DRM 服务 SDK。这会立即检查用户是否在打开应用后购买应用，如果没有，则会提示他们购买。这也是确保应用程序在一次购买后不会免费分发给其他人的好方法。

按图索骥，伯衡君找到了那位发现漏洞的作者，主要内容搬运如下：

我开始想知道华为的 API 是如何工作的。几分钟后，我终于找到了一个 API，它以包名作为参数并返回一个 JSON 对象，其中包含应用程序的详细信息。那时我不知道以后会发现什么，所以我只是尝试了一个带有已知免费应用程序包名称的 API：华为的 AppGallery 本身。

{
  "app": {
    ...
    "name": "AppGallery",
    "openCount": 0,
    "openCountDesc": "",
    "openurl": "",
    "permissions": [],
    "pkgName": "com.huawei.appmarket",
    "price": "0",
    "productId": "",
    "rateNum": "0",
    "recommImg": "",
    "releaseDate": "2022-04-20 17:03:53",
    "sha256": "2e1a1ce4e86cbfc87f05411a2585e557af78b893f6be85f8f6cb93f889faee05",
    "size": "50347219",
    "tagName": "",
    "updateDesc": "",
    "url": "https://appdlc-dre.hispace.dbankcloud.com/dl/appdl/application/apk/40/4037feaa91cf453ca2dd1ebf444aedaa/com.huawei.appmarket.2204201539.apk?sign=mw@mw1651866832368&maple=0&distOpEntity=HWSW",
    "version": "12.1.1.302",
    "versionCode": 120101302
  },
  ...
}

在 API 返回的详细信息中，需要各种字段：各种 ID、应用版本、徽标和图像、描述、权限、发布日期、价格等。但是，不希望返回的字段之一是：URL。下载链接可以正常工作，但这并不奇怪，因为我正在测试一个免费的应用程序。

我记得我当时在想，如果该领域也可用于付费应用程序，那将是疯狂的。因此，我的下一步是尝试使用付费应用的包名。令人惊讶的是，该响应包含一个与付费应用类似的下载链接，末尾带有相同类型的符号参数。

剩下的就是一些给华为的防护建议了，这里就不搬运了。

完整文章请访问这篇：