Input Validation Issues - Part 3

Input Validation Failure in Native Library Files causing App Crash via Bufferoverflow

Pendahuluan

Pada tantangan kali ini kita akan membuat aplikasi diva menjadi crash.

Anda mungkin sudah tahu bahwa Android APK bisa dibuat menggunakan Java, Kotlin serta Native languages seperti C, C++,dll. Dengan menggunakan Java Native Interface, komponen Java dan C++ bisa saling berkomunikasi.

Penjelasan

Tampilan Soal Input Validation Issues - Part 3

Terdapat form input yang harus kita buat menjadi crash.

Melihat Source Code

DivaJni.java

package jakhar.aseem.diva;

public class DivaJni {
  private static final String soName = "divajni";
  
  static {
    System.loadLibrary("divajni");
  }
  
  public native int access(String paramString);
  
  public native int initiateLaunchSequence(String paramString);
}

Perhatikan file DivaJni.java, telihat bahwa ada pemanggilan native function initiatelaunchsequence(), jadi mari kita periksa file divaJni.c yang ada di dalam folder Jni.

Untuk menganalisa penyebab crash, kita perlu membaca source code lengkapnya.

Pada file tersebut terdapat array code[CODESIZEMAX] bertipe char dan CODESIZEMAX tersebut bernilai 20. Array tersebut digunakan untuk menampung inputan user. Sehingga jika user menginputkan lebih dari 20 karakter, maka aplikasi tersebut akan crash.

Membuat Aplikasi Crash

Silahkan inputkan string acak dengan lebih dari 20 karakter, maka aplikasi tersebut akan crash:

Aplikasi Crash

Kesimpulan

Aplikasi crash dikarenakan inputan user melebihi batas tampung array yang telah dideklarasikan.

Yang bisa dilakukan developer adalah melakukan sanitasi inputan baik pada frontend maupun backend.