Omarchy-Big-PC
b6f22ad7c1
- README, PROTOCOL, FINDINGS, endpoints, rapport et outils traduits en français - docs/DISCLOSURE.md : courriel prêt à envoyer à hello@boti.education (compte démo codé en dur, transmission en clair, logging de production) - extract_endpoints.py vérifié après traduction (100 points d'accès toujours extraits)
2.2 KiB
greenwood-school-re
Ingénierie inverse statique de l'application parents Greenwood School (com.botieducation.greenwood), la « horrible application mobile » qui est en réalité un wrapper web Capacitor de l'éditeur Boti Education (boti.education).
Version analysée : 2.4.14 (versionCode 24140), XAPK via APKPure. Empreinte XAPK sha256 : f46aa8b126f8f8856ea15e10ed12fa259d02e383f8921b0645139521b7820e69
Contenu
- docs/PROTOCOL.md, le protocole API complet : URL de base, authentification, enveloppe des requêtes, notifications push, URLs médias, particularités
- docs/endpoints.md, les 100 points d'accès de l'app avec méthodes get/post et chunk source
- docs/FINDINGS.md, constats de sécurité (oui, y compris le compte de démo codé en dur)
- docs/DISCLOSURE.md, courriel de divulgation responsable prêt à envoyer
- tools/extract_endpoints.py, régénère la table des points d'accès depuis les chunks décompilés
- tools/boti_login.sh, connexion + mise en cache de la clé de session (identifiants dans ~/.config/boti.ini, jamais dans le dépôt)
- results/report.md, notes d'analyse originales
En résumé
- L'application est une SPA Ionic/Angular dans une coquille Capacitor 5. Toute la logique est en JavaScript.
- Backend : https://boti.education/p/greenwood/botiapi/ (chemin par école sur un backend unique partagé entre tous les établissements Boti)
- Auth : POST login (téléphone + mot de passe en clair) -> keyToken (40 hex) utilisé comme key= sur chaque appel. Jetons JWT access/refresh supportés mais généralement vides pour les comptes parents.
- La version livrée contient un compte de démonstration codé en dur dans le composant de la page de connexion.
- Protocole vérifié en direct avec un seul appel de connexion ; aucune autre requête n'a été faite au serveur de l'école.
Pas d'identifiants ici
Le dépôt ne contient aucune donnée personnelle du titulaire du compte. La seule paire téléphone/mot de passe citée dans docs/FINDINGS.md est le contenu de démo livré par l'éditeur, cité comme preuve de vulnérabilité ; il figure dans chaque copie publique de l'APK. Les identifiants réels vont dans ~/.config/boti.ini (chmod 600) sur la machine qui exécute les outils, jamais dans ce dépôt.