2025: Reverse Engineering Native Library SDK Android (libsecurity.so)

Melakukan disassembly dan dynamic trace terhadap file .so (native ARM ELF) dari SDK mobile game regional China. Proses dilakukan tanpa akses source code, dengan tujuan mengidentifikasi struktur internal, proses chaining logika, dan lokasi fungsi yang berperan dalam pembentukan signature.

Analisis dilakukan menggunakan kombinasi reverse statis dan dinamis, termasuk hooking di runtime untuk membandingkan behavior aktual dengan hasil dekompilasi.

Tools yang digunakan:
Ghidra, IDA Pro, Frida, Jadx, Binary Symbol Tracer, ARM register decoder, dan tool internal visual flow-mapper yang saya buat sendiri karena tidak ada software lain yang bisa mengikuti kecepatan saya membaca eksekusi native function.

Hasil yang dicapai:

Dokumentasi fungsi internal library libsecurity.so

Mapping struktur dan alur logika MD5 chaining

Penemuan titik input ? transformasi string ? output signature

Basis awal untuk membuat emulator signature secara lokal

Catatan:
Gambar dokumentasi dan log teknikal tersedia untuk ditunjukkan saat diperlukan.
(Tidak ditampilkan publik untuk menjaga keamanan sistem yang dianalisis.)

2025: Bypass SSL Pinning dan Tracing Real-Time Signature Generator via Frida

Melakukan bypass terhadap SSL Pinning yang diterapkan di dalam SDK Android mobile game regional China. Proses dilakukan dengan menggunakan Frida untuk hook TrustManagerImpl, X509TrustManager, dan HostnameVerifier, memungkinkan proses intercept dan analisis semua komunikasi HTTPS yang sebelumnya terenkripsi.

Setelah bypass berhasil, dilakukan tracing terhadap metode pembentukan signature, termasuk decoding parameter, transformasi internal, dan hash chaining. Ini menjadi kunci untuk memahami dan membangun ulang algoritma sign dan signature dari sisi klien.

Tools yang digunakan:
Frida (inline hook scripting), Jadx (deobfuscation layer assist), Burp Suite, memory dump visualizer, dan tool trace injection khusus yang saya bangun agar bisa mengeksekusi logic SDK tanpa butuh emulator atau app asli.

Hasil yang dicapai:

SSL Pinning berhasil di-bypass sepenuhnya tanpa perlu modifikasi APK

Identifikasi real-time bagaimana param dikonversi menggunakan map2string

Logging lengkap urutan hash (MD5), termasuk penggunaan salt string

Data flow logic berhasil direplikasi dari hook langsung

Catatan:
Gambar dokumentasi dan log teknikal tersedia untuk ditunjukkan saat diperlukan.
(Tidak ditampilkan publik untuk menjaga keamanan sistem yang dianalisis.)

2025: Emulasi Signature SDK via Python CLI Tool (Offline Generator)

Setelah seluruh proses pembentukan signature dan sign berhasil saya uraikan secara penuh dari native library SDK sebuah game regional, saya membangun ulang seluruh sistem penandatanganannya � tanpa satu baris pun dari kode aslinya.

Saya tidak menyalin.
Saya memahami, lalu membangun kembali dengan Python, dari nol.

Hasilnya adalah sebuah command-line tool kecil, tapi presisi:
memproses input mentah, menyusunnya seperti aplikasi resmi, dan menghasilkan sign serta signature yang tidak bisa dibedakan oleh backend.

Tool ini berjalan tanpa emulator, tanpa aplikasi, dan tanpa dependensi lain.
Cukup Python � dan seluruh sistem backend akan percaya.

Tools yang digunakan:
Python 3, hashlib, urllib.parse, Wireshark (payload trace), mitmproxy, JSON schema injector, Postman (emulation testing), CLI raw request tool (custom build)

Hasil yang dicapai:

Tool CLI mandiri, kompatibel dengan proses dev dan testing

Dapat menyusun ulang request lengkap untuk replay/debug

Digunakan sebagai basis validasi signature dari luar aplikasi

Catatan:
Gambar dokumentasi dan log teknikal tersedia untuk ditunjukkan saat diperlukan.
(Tidak ditampilkan publik untuk menjaga keamanan sistem yang dianalisis.)

2025: Custom Sign Server (Socket-based Generator)

Setelah signature berhasil disimulasikan lewat CLI, saya melangkah lebih jauh:
Membangun sebuah signing engine lokal berbasis socket � sebuah server ringan yang mampu menerima input dari client mana pun, dan membalas dengan sign valid, seolah ia adalah SDK asli.

Tidak butuh GUI.
Tidak butuh emulator.
Cukup satu koneksi TCP, dan signature siap digunakan kembali ke sistem target.
Inilah Sign-as-a-Service � dirancang untuk automation, replay, hingga stress testing.

Arsitektur ini bukan hanya untuk menjalankan ulang signature, tapi untuk mengotomatisasi seluruh proses validasi.
Dan karena saya sendiri yang membangun, tidak ada batasan fungsi di dalamnya.

Tools yang digunakan:
Python 3, socket, hashlib, automation shell integration, CLI payload sender, TCP listener debugging tool

Hasil yang dicapai:

Engine socket lokal untuk generate sign secara real-time

Siap terintegrasi ke script automation atau test harness

Digunakan untuk fuzzing, replay, dan injection payload dengan signature yang valid

Fleksibel dan bisa dipasang di lokal, server QA, atau dev internal

Catatan:
Gambar dokumentasi dan log teknikal tersedia untuk ditunjukkan saat diperlukan.
(Tidak ditampilkan publik untuk menjaga keamanan sistem yang dianalisis.)

2025: Security Exploit Report & Replay Attack Validation

Dengan signature dan sign yang berhasil disimulasikan secara penuh, saya melakukan validasi terhadap kemungkinan abuse dari sisi backend.

Request yang sebelumnya hanya bisa dibuat melalui aplikasi resmi, kini saya kirim ulang melalui tool yang saya bangun sendiri � dan server menerimanya tanpa ragu.
Inilah titik krusial: ketika sistem tidak lagi membedakan antara klien asli dan emulasi.

Dalam skenario nyata, celah ini dapat memungkinkan tindakan seperti top-up berulang, validasi order fiktif, atau replay request transaksi secara masif � tanpa sepengetahuan sistem pusat.
Saya tidak melakukannya. Tapi saya membuktikan bahwa itu bisa terjadi. Dan saya dokumentasikan semua secara teknikal dan etis.

Saya tidak membobol.
Saya hanya memperlihatkan bahwa sistemnya bisa dibohongi � dan saya dokumentasikan itu dengan teliti, lengkap dengan bukti, skenario abuse, dan mitigasi yang disarankan.

Tools yang digunakan:
Burp Suite (request replay & response diff), Python test suite (auto replay), Frida (verifikasi parameter hook), internal traffic analyzer

Hasil yang dicapai:

Replay sukses terhadap endpoint signature-protected

Bukti teknikal bahwa backend tidak melakukan strict validation terhadap payload

Laporan eksploitasi disusun dalam format PDF profesional

Termasuk breakdown celah teknis, proof-of-concept, dan saran mitigasi real-world

Catatan:
Gambar dan cuplikan log eksploitasi tersedia untuk ditunjukkan saat diperlukan (tidak dipublikasikan demi menjaga integritas sistem yang dianalisis).