Открыл для себя мир кастомных эмоджи в тг 🙂 🤡

апрувните, пожалуйста, канал, появится возможность настроить красивые реакции)

www.group-telegram.com/dolgo_polo_dev.com?boost

пока тестил их, нашел баг — если добавлять кастомный эмоджи в пост после двух блоков кода (например swift + kotlin), то после публикации поста эмоджи распадается на два — базовый и кастомный

🧠 --> 🧠🧠

Swift / Kotlin

Они оказывается жуть как похожи

И речь не о том, что они оба ООП + статически типизированы + автоматически выводят типы + не требует точки с запятой в конце строки...


Радует больше совпадение по сахарным фичам, которые есть в обоих языках:

🔵extension — расширение классов

🔵именованные аргументы у функций

🔵модификатор internal для ограчения видимости по модулю

🔵null-safety

🔵lateinit var (Android) / lazy var (iOS)

💎 в документации по интеропу есть целая таблица сопоставления ключевых слов kotlin <-> swift

extension Double {
    var km: Double { return self * 1_000.0 }
}
let result = 25.4.km

var x: Bool? = getXorNull()
print(x ?? false)

fun Double.km() = this * 1_000.0
val result = 25.4.km()

var x: Boolean? = getXorNull()
print(x ?: false)

#cross_post
@dolgo_polo_dev

Реверс-инжиниринг чужого приложения

Dolgo.polo Dev x Coffee&Code
#cross_post

💎 iOS

➖во что собирается приложение?

в .ipa-файл, а в нем код в формате unix executable file (бинарь, скомпилированный код)


➖можно ли декомпилировать чужое приложение?

да, если у вас есть доступ до .ipa файла (как его получить), можно с легкостью дойти до ассемблерного кода (используя Hopper, можно получить даже псевдо код)

приложения из AppStore шифруются и без jailbreak будет сложно достать что-то полезное из обфусцированного бинаря, но добрые (или не очень) люди создают сайты, где выкладывают незашифрованные бинари популярных приложений


➖можно ли пересобрать чужое приложение, изменив его исходники, и поставить себе на устройство?

да, например тулза sideloadly позволяет пересобрать .ipa файл с дополнительным фреймворком (который мы можем написать сами)

этот фреймворк, к примеру, может случайно посвиззлить (подменить реализацию метода в рантайме) функцию начисления количества внутриигровой валюты и сделать нас миллионерами


➖что защищает от хакнутых приложений?

🔵источник приложений только один — AppStore (уже нет)
🔵подпись .ipa-файла, связанная с аккаунтом разработчика
🔵DeviceCheck — фича, позволяющая сгенерировать токен оригинальность приложения и проверить его на бэкенде


➖можно ли посмотреть исходники любой библиотеки?

только если она в публичном доступе

в остальном, также декомпилировать и смотреть ассемблер или дампнуть хедеры (интерфейс либы)

еще есть возможность изучить библиотеку прямо в рантайме, если она написана на Objective-C, используя инструменты дебага

например можно:
🔵запринтить все методы объекта (подробнее)
🔵переопределить любой (да да, любой, даже приватный) метод
🔵подменить класс в рантайме, создать класс в рантайме
🔵вызывать любой метод (даже не объявленный)
🔵подключить любую библиотеку (даже системные фреймворки Apple) и много чего еще




💎 Android

➖во что собирается приложение?

в .apk-файл, в котором лежит java-байткод (Java/Kotlin-код компилируется в java-байткод на этапе сборки .apk)


➖можно ли декомпилировать чужое приложение?

да

получить .apk-файл можно из любого приложения, установленного на устройстве

дальше достаточно использовать любую программу, умеющую превращать байткод обратно в Java-код

единственная защита от этого — обфускация кода. но она лишь усложняет читаемость кода, а не защищает от считывания


➖можно ли пересобрать чужое приложение, изменив его исходники?

да, поскольку после декомпиляции мы получаем обычный Java-код, который можем изменить его и заново собрать .apk


➖что защищает от хакнутых приложений?

🔵подпись приложения

подпись — грубо говоря, уникальная строка, которая формируется на основе хэша от кода приложения и пароля, который знает только разработчик приложения

если изменить исходный код приложения, то подпись потеряет актуальность, и система не даст установить такое .apk

🔵Play integrity API — фича, позволяющая сгенерировать токен оригинальность приложения и проверить его на бэкенде


➖можно ли посмотреть исходники любой библиотеки?

да, у нас есть доступ к исходникам любой либы, написанной на Java/Kotlin (в том числе системных/гугловских) прямо из Android Studio



💎 Выводы

все секреты, попавшие в .apk/.ipa-файл (токены/алгоритмы шифрования/пароли/протоколы...), могут быть вытащены и подменены с помощью реверс-инжиниринга на обоих платформах

на iOS изучить/подменить чужое приложение сложнее, но тоже реально

так что все что попало в .apk/.ipa-файл — считай open-source


спасибо Coffee&Code и в частности @gronzeisl за экспертизу по iOS

🧬 Чистка Google Play

Тут Play Market пообещал вычистить мусорные приложения, которые не имеют полезного функционала

А я вспомнил историю, рассказываю

Наверное, все слышали от стримеров/блогеров, насколько казики платят выше рынка за рекламу

Но мало где говорят, что такая же ситуация и в мобильной разработке

Лет 5 назад, когда только начинал заниматься фрилансом и постоянных заказчиков не было, часто натыкался на объявления:

Сделать приложение, которое открывает википедию в WebView. А если потрясти телефон и покричать в микрофон, открывается однорукий бандит. Оплата 10к

А 10к за приложение, которое пишется за несколько часов по шаблону — это много

Но, очевидно, делать и распространять такие приложения абсолютно незаконно ни с юридической, ни с моральной, ни с гуглплеевской точки зрения

Не брал такие заказы, и вам не советую

Кстати единственные, кто платили столько же — владельцы приложений для установки модов/скинов на майнкрафт

Есть миллион приложений, которые zip-архивы со скинами/модами кидают через Intent и ContentResolver в приложение Minecraft, тем самым устанавливая моды. Парочка из них мои)

@dolgo_polo_dev