Files

T

Omarchy-Big-PC b6f22ad7c1 Traduction française complète + courriel de divulgation responsable

- README, PROTOCOL, FINDINGS, endpoints, rapport et outils traduits en français
- docs/DISCLOSURE.md : courriel prêt à envoyer à hello@boti.education
  (compte démo codé en dur, transmission en clair, logging de production)
- extract_endpoints.py vérifié après traduction (100 points d'accès toujours extraits)

2026-09-01 17:29:25 +01:00

3.2 KiB

Raw Permalink Blame History

Rapport d'analyse statique : app Android Greenwood School

App : com.botieducation.greenwood 2.4.14 (versionCode 24140) XAPK sha256 : f46aa8b126f8f8856ea15e10ed12fa259d02e383f8921b0645139521b7820e69 Arborescence d'analyse : ~/android_reverse/greenwood/ (XAPK original intact, copie analysée)

Architecture

Coquille Capacitor 5 (assets/capacitor.config.json), SPA Ionic + Angular dans assets/public/
La couche native n'est que des plugins capacitor : camera, filesystem, geolocation, push (FCM), preferences, file-opener/picker, voice recorder
Toute la logique métier et l'accès API vivent dans le bundle JS : assets/public/main.js + ~200 chunks paresseux (nNNN.js)
ngsw.json : service worker Angular présent (origine PWA)

Backend

Constante d'URL de base dans main.js (module 35548, export JW) : https://boti.education/p/greenwood/botiapi/
Motif par école : https://boti.education/p/<slug-école>/botiapi/
Hôte média/statique : media.boti.education (URLs signées expirantes)
Éditeur : Boti Education (boti.education), logo boti_robot.png, préfixes « boti » partout

Protocole d'authentification (vérifié en direct le 2026-09-01)

POST {base}login, multipart/form-data : login=<téléphone>, password=, privacy, remembreMe
Réponse : {status, msg, error, keyToken, userId, parentId, eleves[], _acces, parent{}}
Auth de session sur les appels suivants : key= (paramètre GET / champ POST)
Voie moderne également prise en charge (présente dans le code, vide à la connexion ici) : Authorization: Bearer , en-tête X-refresh-token
Réponse avec "disconnect":true force navigateRoot("/") = kill de session côté serveur
Champs du formulaire de connexion : login, password, privacy, remembreMe (extracted/assets/public/1028.js)

Service API (main.js, classe apiservice)

get(params, endpoint) : URLSearchParams, Content-Type x-www-form-urlencoded
post(params, endpoint) : FormData ; objets imbriqués aplatis en key[subkey] ; tableaux en key[i] ; File/Blob ajoutés bruts ; ajoute automatiquement key=
getBlob(path, params, absolute=false) : téléchargement de blob brut (médias/PDF)
~110 points d'accès au total (le nom du point d'accès est le 2e argument de get/post dans les chunks). Liste complète via l'expression '.(post|get|getBlob)(...,"endpoint"' sur assets/public/*.js

Constats notables

Compte de démo/développement oublié, codé en dur dans la build de production : extracted/assets/public/1028.js : reconnectUser={id:12745, phone:"0649014703", password:"0649014703"}
Mots de passe envoyés en champs de formulaire en clair sur TLS (pas de hachage côté client) ; keyToken est une clé de session hex nue de 40 caractères
POST device_token {token, user_id, key, uid} pour l'enregistrement push FCM
console.log détaillés des paramètres/en-têtes laissés dans le bundle de production
Pas d'épinglage de certificat, pas d'obfuscation de la SPA

Vérification

Un POST login réel avec des identifiants de test a renvoyé HTTP 200, error:false, keyToken, fiche parent + _acces=parent. Protocole confirmé de bout en bout. Identifiants internes censurés.

3.2 KiB Raw Permalink Blame History