Comments 17
Это значит, что можно сделать альтернативный клиент Google Play?
То есть хоть сейчас можно писать системы репозиториев как в линуксе, пакетный менеджер, установку и обновление софта. Но видимо смысла в этом мало, т.к. за 10 баксов полный доступ в маркет, причем эти деньги еще и вернут.
А как я понимаю вся суть этого реверса — украсть внутреигровые покупки патчем для маркета.
Сделать свой полноценный маркет довольно сложно. Поскольку маркет должен уметь две важные вещи. Устанавливать и обновлять пакеты. Установка, обновление, удаление пакетов делается через системный PackageInstaller. Который устанавливает пакеты без участия пользователя только если процесс который запросил установку принадлежит производителю устройства либо это системный процесс самого гугла. Иначе установка будет выглядеть так же как когда вы устанавливаете апк вручную. Запустится обязательный диалог подтверждения. Во время установки будет показано активити установщика. Тоже самое с обновлениями. Для пользователя это не удобно. Он привык как в маркете. Нажал установить и дальше занимается чем то в другом приложении. Обновление так и вовсе в молчаливый режим ставятся у многих. Стороннии маркеты типа apkpure используют хаки или требуют рута для подобного функционала. Ставить на телефон приложение которому нужны админ права и доступ к ацесабилити что бы хаками устанавливать и обновлять apk не очень умный ход. Поэтому полноценных сторонних макетов нет. Правда производители телефонов их могут делать. Что и происходит. Например магазин Huawei весьма хорош. И некоторые приложения даже лучше брать с него. Поскольку доступ к PackageInstaller это вопрос безопасности. Вряд ли когда обычные юзеры получат полный доступ к нему. Только по юзер флоу.
У амазона свой маркет, со своими приложениями и своим аккаунтом.
2) Вот ещё одна ссылка с реверсом push:
jon.oberheide.org/blog/2011/05/28/when-angry-birds-attack-android-edition/
Запрашивает клиент «итем №1» — сервер списывает деньги со счёта и отдаёт клиенту 256-битный ключ.
Приложение либо сверяет ключ со вшитым, либо делает расшифровку доп. контента этим ключом.
Таким образом, не купив итем хотя бы один раз, нельзя считить.
Поняв, как делаются покупки в одной игре, нельзя получить ключи для другой.
Странно, что гугл так не сделал.
Google billing не берет на себя обязанности по защите покупок на стороне разработчика. Он проводит границу на которой заканчивается его интерес. Это в общем то сам apk. Защита покупки на устройстве это не задача для Google Billing. Поэтому разработчик должен либо воспользоваться дополнительными сервисами либо крутится как то сам. Есть надёжные способы защиты как приложений так и покупок. Но в разжеванном виде как инструкции они бесполезны. В FireBase services достаточно инструментов для верификации и прочего. Просто не даны примеры как это делать что бы опять не началось что все делают одинаково и это не имеет смысла.
Reversing Google Play Store