Hitster 앱 리버스 엔지니어링했더니, 암호화 데이터가 웹에 그대로 있었다

I reverse engineered a board game

Hitster 보드게임 앱이 Spotify/Apple Music 구독을 요구하자, 블로거가 APK를 디컴파일해 암호화된 카드 데이터를 해독했다. AES 키는 XOR 연산으로 얻은 문자열에서 유도됐고, 3만1천 개의 카드-ID 대 음악 트랙 매핑을 추출했다. 그런데 이후 같은 데이터가 암호화 없이 공개 URL에 올라와 있음을 발견했다. 18시간의 삽질 끝에 얻은 교훈: 먼저 HTTPS URL부터 찾아보라.