Assalamualaikum temen temen , pada kali ini kita akan membahas tentang penemuan saya pada aplikasi Hago Games.
Semua berawal dari rasa penasaran saya terhadap aplikasi HAGO yang sering di mainkan oleh adik saya , disana saya mencoba untuk install dan ikut bermain .
Saya melihat bahwa ada beberapa permission yang harus kita allow untuk bermain hago , salah satunya adalah location . Dimana hago memerlukan lokasi untuk mencocokan pemain terdekat.
Sampai saat ini saya masih bisa terima , karna lokasi hanya bisa di lihat dari sisi server saja tidak dari sisi client / pemain . Hmmmm tapi saya penasaran apakah bisa kita mendapatkan lokasi user lain ??? terlebih data lokasi pasti tersimpan pada account pemain .
Disini lah saya memulai experimen untuk memabaca dan memperhatikan setiap request pada aplikasi hago , dan ternyata ada satu link yang memungkinkan kita dapat mengetahui lokasi orang lain hanya melalui ID yang terdapat pada profile nya.
*Maaf inject point tidak dapat saya lampirkan karna lupa ke save (ada satu alasan lagi yang akan saya jelaskan di bawah)
Saya sangat tertarik sekali untuk melanjutkan pentest terhadap aplikasi ini , sayangnya setelah saya melakukan report tidak ada apresiasi sama sekali .
Tenang dia ga salah kok , saya yang salah pentest aplikasi hehe . Next kita pentest aplikasi yang memang mengadakan bounty .
Gojek misalnya haha.
Timeline Bug Report
Report Melalui Official Facebook Hago : Rabu 03 Oktober 2019 09:01
Respon Official : Rabu 03 Oktober 2019 17:55
Bug di perbaiki : Rabu 03 Oktober 2019 19:55 (pengecekan terakhir)
Oh ya , kenapa link ga saya lampirkan ? karna pada penulisan writeup saya sudah pasrah dengan jawaban officialnya , jadi ya ga saya terusin haha.
No Rewards ? not problem , i keep smile
Thanks Hago , semoga kedepanya bisa menjadi lebih baik lagi
Winardi Adji Prasetyo ~
