Enganchar funciones en caliente para saltar comprobaciones

Colibrí tiene una pantalla de administración que la aplicación oculta a los clientes: comprueba el rol en el cliente y, si no es administrador, no dibuja el botón. Enganchando la función que hace esa comprobación y forzando que devuelva «administrador», el botón aparece y la pantalla se abre. Que se abra revela lo que había debajo: la comprobación era solo de interfaz. Lo que decide si esa pantalla carga datos reales de administración no es el botón; es lo que el servidor responda cuando la pantalla pida esos datos.

En Colibrí la pantalla se abre, pero aún no sabes si trae datos: eso depende de la API. El hallazgo hasta aquí es que el control de acceso empezaba y —quizá— terminaba en el cliente.

Colibrí se niega a arrancar si detecta que el dispositivo tiene root, «por seguridad». Enganchas la función de detección para que diga que no hay root, y la aplicación arranca. La pregunta útil es qué protegía esa comprobación. La detección de root defiende sobre todo a la aplicación de ciertos fraudes y del análisis, y molesta a usuarios legítimos con el dispositivo liberado; no protege los datos del usuario frente a un servidor que confía de más. Es una medida de las que hay que saber ubicar: tiene algún valor contra el fraude masivo, ninguno contra un control mal puesto en el servidor.

En Colibrí saltas la detección y sigues. Lo anotas como lo que es: una fricción que el analista quita para trabajar, no una barrera que proteja datos.

En Colibrí, al comprar una suscripción, la aplicación llama a una función interna que devuelve si la compra fue válida y entonces desbloquea la función de pago. Enganchas esa función para que devuelva «válida» sin pagar, y la función se desbloquea en la aplicación. Si el servidor cree que la suscripción está activa solo porque el cliente lo dice, el fraude es real y de negocio. Si el servidor verifica la compra contra la pasarela antes de servir la función, la aplicación mostrará la pantalla pero el servidor no dará el contenido de pago.

El hallazgo se cierra donde se decide de verdad: la validez de una compra la confirma el servidor contra la pasarela, nunca una función del cliente que el usuario puede reescribir.

Abre el laboratorio y lee la salida de la sesión de enganches sobre Colibrí. Busca el enganche que, al forzar la comprobación, hizo ceder un control que resultó ser solo de interfaz y abrió la pantalla de administración: en esa línea hay un código de la sala. Escríbelo tal cual.