해커뉴스 화제글, 여행사 앱을 리버스엔지니어링해 웹페이지로 대체한 개발자 사연
- 작성자는 디즈니랜드 여행 일정을 확인하려면 설치를 요구받은 Travelbound 앱이 사실 텍스트, 이미지, PDF 링크만 웹으로 전달하는 앱임을 확인하고 직접 웹페이지로 대체함
- 앱이 웹페이지 대비 하는 일은 구글 계정 트래킹 데이터 전송과 '인스퍼레이션'이라는 이름의 광고 노출 두 가지뿐이라고 지적함
- Android Studio 가상기기를 루팅(rootAVD)하고 Magisk로 su 권한을 자동 승인한 뒤 HTTP Toolkit으로 앱 트래픽을 가로채는 방식으로 리버스엔지니어링을 수행함
- 앱은 사용자명과 비밀번호를 합쳐 만든 URL(
https://travelbound.api.vamoos.com/api/itineraries/{username}-{password})로 요청해 여정, 광고, 파일 목록이 담긴 JSON 전체를 받아옴을 발견함 - 이 자격증명은 여행 그룹 전체가 공유하는 방식이라 보안 설계가 허술하다는 점도 함께 드러남
Hacker News 의견들
이해는 되는데, 나도 일 좀 하고 코드로 세상을 고치려는 유혹을 참는 법을 배워야 함
이거 진짜 대단한데, 더 큰 활용법은 iOS/Android에만 있는 앱들을 웹으로 만드는 거임
PWA 시대가 온다고 했는데 결국 못 왔음. 앱을 원하는 이유는 알림으로 사용자 주의를 스팸처럼 뺏을 수 있어서라고 봄
유튜브 앱도 똑같은 이유 같음. 영상 링크가 앱으로 자꾸 열리려는 거 진짜 짜증남
앱은 기기 핑거프린팅하고 스파이하면서 훨씬 많은 정보를 얻으려고 만드는 거지
그 이론이 20년 전 얘기긴 한데, 애초에 PWA가 웹 앱 중심으로 시작했던 게 맞음
방법론 공유해준 게 좋음, 이런 걸 더 쉽게 만들어주는 게 나오면 좋겠음. 결과물 자체가 진짜 값진 거임
원저자인데, 앱 대체 도구를 공개 배포하는 건 고민 중임. 그 API는 원래 개발사 내부용이라 배포하면 법적으로 문제될까 봐 여행 끝나면 오픈소스 할까 함
이런 짓 하는 사람 많을 텐데 범용 툴 하나 있으면 진짜 좋겠음, 이 shitty 앱들 내부 구조 다 비슷할 거임
앱 문화가 된 이유는 광고차단기가 브라우저에는 되는데 앱에는 안 되기 때문임
꼭 그것만은 아니고, 앱스토어 초기에 사람들이 그냥 아무거나 깔아도 된다고 느꼼, 소규모 개발자들 돈 벌던 시절이라 그런 거임
애플이 요즘 앱 광고차단 허용하기 시작함, Wipr라는 차단기가 실제로 잘 작동함
웹 트래픽은 신호가 희석돼 있는데 앱 설치 기반은 실제 구매력 있는 고객이라서 회사들이 앱을 선호하는 거임
AdGuard DNS 안드로이드에서 쓰면 앱 광고 대부분 차단됨, 공공 와이파이 로그인할 때 좀 방해되는 거 빼고는 괜찮음
앱이 브라우저보다 주변 wifi, 배터리 상태, 기기 고유 식별자 같은 데이터에 접근 가능한 게 크다고 봄
잘 만든 앱은 오프라인이나 신호 약한 곳에서도 상태 유지되는 게 장점이고, 알림도 큰 이유임. iOS는 홈스크린 웹앱도 디스크 압박 오면 그냥 지워버림
모바일 사파리 초창기엔 광고차단기 자체가 안 됐음, 앱스토어 인기 끈 진짜 이유는 홈스크린 자리 차지하고 습관 만들기랑 알림 두 가지라고 봄