Вот эти  miui/emui так душат приложениия, что я не знаю как надо написать вирус, чтобы он там заработал и система не убила его в фоне, , или заставить пользователя дать все необходимые разрешения для работы сомнительному приложению😂

miui - ад. WorkManager так нормально и не заработал у меня на нём

бандиты, возник вопрос... вот при установке, гугл плей пробрасывает в приложуху referer_url, можно узнать источник трафика, кампанию. тоесть за все это гугл плей отвечает? без гугл плей, при загрузке со своего сервера, такой referer не получить?\

Сомневаюсь

тоже так думаю, а как такое гугл плей мутит? тоесть это на уровне гугл плей сервисов, маркет логирует и делится инфой по рефереру. Думал может о каком то сервисе в самом сдк андроид не знал, даже засомневался

1. при переходе по ссылке прила гугл плей перехватывает её
2. прила устанавилвается и слушает бродкаст ресивер com.android.vending.INSTALL_REFERRER
3. гугл плей прила шлет бродкаст com.android.vending.INSTALL_REFERRER в твою прилу

если у тебя своя прила котоаря скачивает и устанавливает то проблем в реализации подобнйо схемы не должно возникнуть

Это старая схема, сейчас эта инфа запрашивается аналитикой, если конечно такое реализовано, через gps

Google play services

вопрос, как я понял, был про то как это сделать без гугл сервисов

Play Install Referrer Library  |  Для разработчиков Android
https://developer.android.com/google/play/installreferrer/library

В ссылке выше можно почитать. Самому такое можно сделать, если делать свой магазин для приложений )

так в том то и дело, при установке с памяти устройства, бродкаст installreferer выыдает как google_play, тоесть фейковый. А вот через приложуху гугл маркет выдаст верный, со всеми get параметрами ссылки по которой перешли на маркет

все верно, это черзе play services
только раньше они юзались на прямую через aidl
сейчас запилили обертку для этого всего

вобщем понятно, бродкаст система посылает, тоесть нужен загрузчик, а именно приложуха маркета, которая берет ссылку, ставит приложуху и пушит броадкаст, a так-то его и через adb передать можно))) вобщем тема понятна

в принципе верно )

Всем привет!

https://t.me/mobile_appsec_world
Я в основном занимаюсь безопасной разработкой и часто по долгу службу провожу анализ мобильных приложений)
И, так как читаю достаточно большое количество контента по безопасности мобильных приложений, решил наиболее интересными находками и некоторыми своими наработками делиться с сообществом :)

Присоединяйтесь :)

Коллеги, всем привет! Совсем недавно Google анонсировал версию android 11 beta и соответствующие изменения по ним.
Одно из важных нововведений это постепенное внедрение обязательной подписи через app bundle для новых приложений в 2021 году.
Это означает, что постепенно все приложения будут подписываться через app bundle и соответственно ключи подписи нужно будет передавать в Google.
Насколько безопасно подписываться через Play market (он сразу начинает храниться на стороне гугла)?
Насколько безопасно передавать ключ подписи приложения на сторону гугла?

настолько же как передача приватного ключа третьим лицам например )

Это вопрос доверия одной конкретно взятой компании