Falha ao autenticar requisição #49

VoidGS · 2023-06-23T13:07:57Z

Comecei a utilizar a api ontem, e até o momento só tinha implementado uma requisição simples de rastreio de encomendas, e até ontem estava funcionando perfeitamente. Mas hoje de manha (sem nenhuma alteração no código) parou de funcionar, disparando o erro "Falha ao autenticar requisição". Pelo que vi, está relacionado com a função de gerar token de acesso, mas não vi nenhuma alteração nos últimos meses para ter causado isso, então minha única especulação é que seja algum problema na API dos correios.

tegila · 2023-06-23T13:39:13Z

Estou com o mesmo problema =\

ferezini · 2023-06-23T13:53:18Z

mesmo problema aqui, e minha aplicação depende mto destes rastreios, kkk... isso me fez pensar em mudar algumas coisas nela pois não da p correr o risco de ficar sem a Api

ferezini · 2023-06-23T13:54:44Z

só p avisar quem está com problema, já tive este problema algumas outras vezes, mas sempre retornava rapidamente.

juniorkrz · 2023-06-23T14:48:34Z

Também está acontecendo aqui, começou hoje pela manhã

juniorkrz · 2023-06-23T14:49:16Z

Error: Falha ao autenticar requisição
at processTicksAndRejections (node:internal/process/task_queues:96:5)

VoidGS · 2023-06-23T14:51:51Z

Galera, pelo que eu vi, o problema é diretamente com o Correios. Mas não consigo dar certeza absoluta, enquanto isso ficamos no aguardo kkkkkk

juniorkrz · 2023-06-23T14:52:19Z

Tentei rastrear manualmente nos correios e deu certo.

juniorkrz · 2023-06-23T14:57:11Z

Pessoal, gostaria de tirar algumas dúvidas sobre a api, ela tem algum canal no Discord ou algo semelhante?

VoidGS · 2023-06-23T15:07:55Z

Tentei rastrear manualmente nos correios e deu certo.

Sim mas ai nesse caso eles mantém as últimas atualizações salvas, por isso não daria problema. O problema em si acho que está na API do correios mesmo

ferezini · 2023-06-23T15:11:01Z

Tentei rastrear manualmente nos correios e deu certo.

Sim mas ai nesse caso eles mantém as últimas atualizações salvas, por isso não daria problema. O problema em si acho que está na API do correios mesmo

O muambator está atualizando as informações então não faz sentido estar off, devem consumir do mesmo local. é alguma coisa com a autenticação que esssa api usa, o usuário deve ter sido deletado pelos correios ou algo assim.

ferezini · 2023-06-23T15:13:40Z

este site aqui tb deve consumir da mesma forma e está OK

https://www.websro.com.br/rastreamento-correios.php?P_COD_UNI=NL634774505BR

VoidGS · 2023-06-23T15:17:43Z

Tem razão, não sei então kkkkkk

ferezini · 2023-06-23T15:19:08Z

Se alguém achar outra API q funcione semelhante, consultando varios códigos de uma só vez, passe p nós por favor.

joao-uefrom · 2023-06-23T21:57:11Z

Galera, acho que agora é diferente. Até pq o erro que dá é "Forbidden" (proibido), antes sempre era algo como "Service Unavailable" (serviço indisponível) acrescentando o fato que já tem mais de 8hs desde que o problema começou.

Eu real acho que os correios invalidaram a chave de API que estávamos usando, antes era possível encontrar ela facilmente no app dos Correios para Android, porem agora eu fiz o mesmo processo para tentar encontrar ela lá (ver se atualizaram) e para a minha surpresa, o trecho de código que tinha lá sumiu com tudo, não sou um especialista, mas acho que levaram a parte de conexão para dentro do Flutter (que possui outro processo de decompilação e eu não conheço) ou simplesmente obfuscaram código de alguma outra forma, tornando difícil de encontrar usando o decompilador java que eu tava usando.

Então resumindo, eu acho que essa chave que usávamos não vai mais voltar (espero que eu esteja errado). Vi que a galera citou outros serviços aí que estão funcionando, mas se lembrem, o Correios vende esse serviço de API...

Editado:
E outro detalhe, a mensagem de proibido tá sempre atualizada com o momento atual da consulta, então o servidor tá funcionado ok. Talvez nós reste agora dar aquele jeitinho brasileiro e procurar outra saída. 😄

tegila · 2023-06-23T22:23:08Z

@joao-uefrom Que tal descompilar o app Android?

joao-uefrom · 2023-06-23T23:02:53Z

@joao-uefrom Que tal descompilar o app Android?

foi justamente isso que eu fiz, mas o app deles usa Flutter, então a maioria do código tá nos binarios do Dart, essa parte eu não tenho conhecimento de como descompilar.

leandrobattochio · 2023-06-24T02:03:39Z

Talvez se usar um Fiddler resolva. Vai ter que fazer um man in the middle e descobrir quais são os novos dados sendo passados na api pelo novo app mobile.

@joao-uefrom

Usando o Android Studio pra configurar um emulador e o http toolkit pra redirecionar o trafego deve funcionar, porém precisa editar o xml do app e recompilar, fazendo assim com que ele aceite o certificado custom. Se conseguir fazer isso é gg.

https://httptoolkit.tech/docs/guides/android#intercepting-traffic-from-your-own-android-app

Se conseguir me ensina, sempre tentei sniffar tráfego https de android mas sempre caio nessa de ter que editar o apk que eu quero sniffar pra aceitar o certificado custom.

joao-uefrom · 2023-06-24T03:31:17Z

Talvez se usar um Fiddler resolva. Vai ter que fazer um man in the middle e descobrir quais são os novos dados sendo passados na api pelo novo app mobile.

@joao-uefrom

Usando o Android Studio pra configurar um emulador e o http toolkit pra redirecionar o trafego deve funcionar, porém precisa editar o xml do app e recompilar, fazendo assim com que ele aceite o certificado custom. Se conseguir fazer isso é gg.

https://httptoolkit.tech/docs/guides/android#intercepting-traffic-from-your-own-android-app

Se conseguir me ensina, sempre tentei sniffar tráfego https de android mas sempre caio nessa de ter que editar o apk que eu quero sniffar pra aceitar o certificado custom.

eu tava tentando fazer isso, mas o app ignorava o meu servidor proxy, aí me deu preguiça :v
deixo para o próximo tentar :u

leandrobattochio · 2023-06-24T04:17:35Z

@joao-uefrom
Esse HTTP Toolkit é meio que automático. Vc instala o App no windows e logo quando starta o emulator do android studio, o http toolkit conecta via adb no emulador e ja faz tudo. Só precisa fazer essa modificação no xml.

Se conseguir me mandar um apk com as modificações que ta escrito ali na documentação me avisa que eu faço.

https://gist.github.com/unoexperto/80694ccaed6dadc304ad5b8196cbbd2c

Talvez isso ajude também.

andersonmendess · 2023-06-25T01:02:00Z

Fala pessoal, Beleza? Vou deixar aqui minha pequena contribuição

Eu tenho um aplicativo que estava utilizando essa api também, e descompilando o apk dos correios mais recente, vi que foi atualizado o endpoint que validava se a requisição era do aplicativo oficial.

estavamos utilizando o https://proxyapp.correios.com.br/v1/app-validation que era obrigatorio passar um requestToken com alguns parametros encoded em base64, porem nessa nova v2 temos mais alguns parametros, e também novos campos no body.

Novo endpoint:

POST https://proxyapp.correios.com.br/v2/app-validation

body funcional:

{
	"requestToken": "YW5kcm9pZDtici5jb20uY29ycmVpb3MucHJlYXRlbmRpbWVudG87RjMyRTI5OTc2NzA5MzU5ODU5RTBCOTdGNkY4QTQ4M0I5Qjk1MzU3ODs1LjEuMTQ=",
	"data": "23/06/2023 12:42:58",
        "sign": "a5e2f3a83571c88c40a31c68876f261f"
}

não esqueça os headers content-type e user-agent.

Diferenças que eu percebi:

o requestToken agora recebeu a versão do aplicativo na base64.
o parametro data foi incluído no body.
o parametro sign foi incluído no body.

o sign parece alguma hash do data, ou seja, como se tivessem convertido a string da data em md5 (mas não é kk), deve ser alguma hash fixa de 32 caracteres com um salt. Eu obtive esse atraves do monitoramento de rede usando o HTTP Toolkit e ate agora não expirou, então não sei se a API dos correios em algum momento vai tornar esse sign inválido.

o data está relacionado ao momento em que o aplicativo gerou o sign, se alterar a data ou o sign, a requisição nega a geração de um token de autenticação. Então enquanto não conseguirmos fazer a engenharia reversa nesse sign, teremos que sempre utilizar esse que eu passei, ou caso expire, copiar um novo do aplicativo dos correios.

ferezini · 2023-06-25T04:08:47Z

clonei o repositorio e estou tentando realizar as alterações acima, mas ja estou tendo problemas antes de alterar, alguem poderia publicar uma versão da biblioteca com as alterações acima?

leandrobattochio · 2023-06-25T04:44:58Z

Fala pessoal, Beleza? Vou deixar aqui minha pequena contribuição

Eu tenho um aplicativo que estava utilizando essa api também, e descompilando o apk dos correios mais recente, vi que foi atualizado o endpoint que validava se a requisição era do aplicativo oficial.

estavamos utilizando o https://proxyapp.correios.com.br/v1/app-validation que era obrigatorio passar um requestToken com alguns parametros encoded em base64, porem nessa nova v2 temos mais alguns parametros, e também novos campos no body.

Novo endpoint:

POST https://proxyapp.correios.com.br/v2/app-validation

body funcional:
{
	"requestToken": "YW5kcm9pZDtici5jb20uY29ycmVpb3MucHJlYXRlbmRpbWVudG87RjMyRTI5OTc2NzA5MzU5ODU5RTBCOTdGNkY4QTQ4M0I5Qjk1MzU3ODs1LjEuMTQ=",
	"data": "23/06/2023 12:42:58",
        "sign": "a5e2f3a83571c88c40a31c68876f261f"
}
não esqueça os headers content-type e user-agent.

Diferenças que eu percebi:

o requestToken agora recebeu a versão do aplicativo na base64.

o parametro data foi incluído no body.

o parametro sign foi incluído no body.

o sign parece alguma hash do data, ou seja, como se tivessem convertido a string da data em md5 (mas não é kk), deve ser alguma hash fixa de 32 caracteres com um salt. Eu obtive esse atraves do monitoramento de rede usando o HTTP Toolkit e ate agora não expirou, então não sei se a API dos correios em algum momento vai tornar esse sign inválido.

o data está relacionado ao momento em que o aplicativo gerou o sign, se alterar a data ou o sign, a requisição nega a geração de um token de autenticação. Então enquanto não conseguirmos fazer a engenharia reversa nesse sign, teremos que sempre utilizar esse que eu passei, ou caso expire, copiar um novo do aplicativo dos correios.

Boa, poderia ensinar essa parte do http toolkit? Como fez pra confiar no certificado e conseguir monitorar?

Funcionou aqui, perdão a burrice.

joao-uefrom · 2023-06-25T17:39:30Z

Fala pessoal, Beleza? Vou deixar aqui minha pequena contribuição

Eu tenho um aplicativo que estava utilizando essa api também, e descompilando o apk dos correios mais recente, vi que foi atualizado o endpoint que validava se a requisição era do aplicativo oficial.

estavamos utilizando o https://proxyapp.correios.com.br/v1/app-validation que era obrigatorio passar um requestToken com alguns parametros encoded em base64, porem nessa nova v2 temos mais alguns parametros, e também novos campos no body.

Novo endpoint:

POST https://proxyapp.correios.com.br/v2/app-validation

body funcional:
{
	"requestToken": "YW5kcm9pZDtici5jb20uY29ycmVpb3MucHJlYXRlbmRpbWVudG87RjMyRTI5OTc2NzA5MzU5ODU5RTBCOTdGNkY4QTQ4M0I5Qjk1MzU3ODs1LjEuMTQ=",
	"data": "23/06/2023 12:42:58",
        "sign": "a5e2f3a83571c88c40a31c68876f261f"
}
não esqueça os headers content-type e user-agent.

Diferenças que eu percebi:

o requestToken agora recebeu a versão do aplicativo na base64.

o parametro data foi incluído no body.

o parametro sign foi incluído no body.

o sign parece alguma hash do data, ou seja, como se tivessem convertido a string da data em md5 (mas não é kk), deve ser alguma hash fixa de 32 caracteres com um salt. Eu obtive esse atraves do monitoramento de rede usando o HTTP Toolkit e ate agora não expirou, então não sei se a API dos correios em algum momento vai tornar esse sign inválido.

o data está relacionado ao momento em que o aplicativo gerou o sign, se alterar a data ou o sign, a requisição nega a geração de um token de autenticação. Então enquanto não conseguirmos fazer a engenharia reversa nesse sign, teremos que sempre utilizar esse que eu passei, ou caso expire, copiar um novo do aplicativo dos correios.

que legal mano, agora me tira uma dúvida, qual método vc usou para descompilar? O método que usei não aparece por nada essa url.

jhowbhz · 2023-06-26T18:13:38Z

Fala pessoal, Beleza? Vou deixar aqui minha pequena contribuição
Eu tenho um aplicativo que estava utilizando essa api também, e descompilando o apk dos correios mais recente, vi que foi atualizado o endpoint que validava se a requisição era do aplicativo oficial.
estavamos utilizando o https://proxyapp.correios.com.br/v1/app-validation que era obrigatorio passar um requestToken com alguns parametros encoded em base64, porem nessa nova v2 temos mais alguns parametros, e também novos campos no body.

Novo endpoint:

POST https://proxyapp.correios.com.br/v2/app-validation

body funcional:
{
	"requestToken": "YW5kcm9pZDtici5jb20uY29ycmVpb3MucHJlYXRlbmRpbWVudG87RjMyRTI5OTc2NzA5MzU5ODU5RTBCOTdGNkY4QTQ4M0I5Qjk1MzU3ODs1LjEuMTQ=",
	"data": "23/06/2023 12:42:58",
        "sign": "a5e2f3a83571c88c40a31c68876f261f"
}
não esqueça os headers content-type e user-agent.

Diferenças que eu percebi:

o requestToken agora recebeu a versão do aplicativo na base64.

o parametro data foi incluído no body.

o parametro sign foi incluído no body.

o sign parece alguma hash do data, ou seja, como se tivessem convertido a string da data em md5 (mas não é kk), deve ser alguma hash fixa de 32 caracteres com um salt. Eu obtive esse atraves do monitoramento de rede usando o HTTP Toolkit e ate agora não expirou, então não sei se a API dos correios em algum momento vai tornar esse sign inválido.
o data está relacionado ao momento em que o aplicativo gerou o sign, se alterar a data ou o sign, a requisição nega a geração de um token de autenticação. Então enquanto não conseguirmos fazer a engenharia reversa nesse sign, teremos que sempre utilizar esse que eu passei, ou caso expire, copiar um novo do aplicativo dos correios.
que legal mano, agora me tira uma dúvida, qual método vc usou para descompilar? O método que usei não aparece por nada essa url.

Work for me !

leandrobattochio · 2023-06-26T21:26:58Z

Fixei no meu fork mas nao sei como trazer as changes pra esse repositorio.

https://github.com/leandrobattochio/Correios-Brasil/

ferezini · 2023-06-27T13:29:49Z

Fixei no meu fork mas nao sei como trazer as changes pra esse repositorio.

https://github.com/leandrobattochio/Correios-Brasil/

Show de Bola, instalei do seu fork e está funcionando perfeitamente, obrigado.

leandrobattochio · 2023-06-27T16:23:25Z

#50

Consegui fazer o PR. Mas ainda queria saber como que o amigo conseguiu sniffar a comunicação HTTPS =(

andersonmendess · 2023-06-27T16:30:17Z

#50

Consegui fazer o PR. Mas ainda queria saber como que o amigo conseguiu sniffar a comunicação HTTPS =(

não tive problemas com o HTTPS, apenas utilizando um emulador com acesso root via adb (algum sem o Google Play) e corrigindo a hora do emulador.

leandrobattochio · 2023-06-27T18:12:48Z

#50
Consegui fazer o PR. Mas ainda queria saber como que o amigo conseguiu sniffar a comunicação HTTPS =(

não tive problemas com o HTTPS, apenas utilizando um emulador com acesso root via adb (algum sem o Google Play) e corrigindo a hora do emulador.

@andersonmendess

Brabo demais. O pulo do gato era não ter a play store, o meu tinha.
O que eu tive que fazer pra conseguir:

Baixei o APK do site apkpure.
Instala via adb: adb install br.com.correios.preatendimento
Inicia o HTTP Toolkit e conecta via adb
Iniciar o app (por algum motivo, ele não aparece na tela): adb.exe shell monkey -p br.com.correios.preatendimento 1

E é isso.

Agora resta alguém analisar o binário do flutter e descobrir o lugar em que esse request é construido, pra fazer o tracing e ver como é gerado o parametro. Ai eu não faço ideia. Manjo de fazer eng reversa de app windows 32bits apenas, ollydbg e IDA Pro, agora mobile não manjo nada. Se alguém puder me direcionar no caminho certo posso tentar descobrir como isso funciona.

juniorkrz · 2023-06-27T19:30:44Z

Fixei no meu fork mas nao sei como trazer as changes pra esse repositorio.

https://github.com/leandrobattochio/Correios-Brasil/

Funcionando perfeitamente, obrigado.

FinotiLucas · 2023-06-28T11:17:09Z

Fala pessoal, muito obrigado pelo engajamento !
Não consegui dar uma olhada no issue mas vocês resolveram. Dei o commit e o merge agora, além de subir uma nova versão da lib no npm

Carlosps · 2023-10-24T13:00:03Z

Voltou a acontecer esse mesmo problema pra vocês?

luanwma · 2023-11-16T13:19:51Z

Alguém sabe como consertar a falha ao autenticar requisição?

FinotiLucas closed this as completed Jun 28, 2023

FinotiLucas added the bug Something isn't working label Jun 28, 2023

FinotiLucas pinned this issue Jun 28, 2023

leandrobattochio mentioned this issue Aug 30, 2023

Falha ao autenticar requisição #53

Closed

Falha ao autenticar requisição #49

Falha ao autenticar requisição #49

Comments

VoidGS commented Jun 23, 2023

tegila commented Jun 23, 2023

ferezini commented Jun 23, 2023

ferezini commented Jun 23, 2023

juniorkrz commented Jun 23, 2023

juniorkrz commented Jun 23, 2023

VoidGS commented Jun 23, 2023

juniorkrz commented Jun 23, 2023

juniorkrz commented Jun 23, 2023

VoidGS commented Jun 23, 2023

ferezini commented Jun 23, 2023

ferezini commented Jun 23, 2023

VoidGS commented Jun 23, 2023

ferezini commented Jun 23, 2023

joao-uefrom commented Jun 23, 2023 • edited

tegila commented Jun 23, 2023

joao-uefrom commented Jun 23, 2023

leandrobattochio commented Jun 24, 2023 • edited

joao-uefrom commented Jun 24, 2023

leandrobattochio commented Jun 24, 2023 • edited

andersonmendess commented Jun 25, 2023 • edited

Novo endpoint:

body funcional:

Diferenças que eu percebi:

ferezini commented Jun 25, 2023

leandrobattochio commented Jun 25, 2023 • edited

Novo endpoint:

body funcional:

Diferenças que eu percebi:

joao-uefrom commented Jun 25, 2023

Novo endpoint:

body funcional:

Diferenças que eu percebi:

jhowbhz commented Jun 26, 2023

Novo endpoint:

body funcional:

Diferenças que eu percebi:

leandrobattochio commented Jun 26, 2023

ferezini commented Jun 27, 2023

leandrobattochio commented Jun 27, 2023

andersonmendess commented Jun 27, 2023

leandrobattochio commented Jun 27, 2023 • edited

juniorkrz commented Jun 27, 2023

FinotiLucas commented Jun 28, 2023

Carlosps commented Oct 24, 2023

luanwma commented Nov 16, 2023

joao-uefrom commented Jun 23, 2023 •

edited

leandrobattochio commented Jun 24, 2023 •

edited

leandrobattochio commented Jun 24, 2023 •

edited

andersonmendess commented Jun 25, 2023 •

edited

leandrobattochio commented Jun 25, 2023 •

edited

leandrobattochio commented Jun 27, 2023 •

edited