NEW ENDPOINT

[lintangtimur]

Sepertinya ada mekanisme baru saat login. Ini muncul jika anda melakukan login di perangkat yang belum pernah untuk login.

STEP 1

POST /v3/user/accounts/otp HTTP/1.1

Request

{
  "channel_code": "ovo_android",
  "device_id": "87586011-0127-3469-aa2a-6016a68d45f6",
  "msisdn": "+6212345678901",
  "otp": {
    "locale": "ID",
    "sms_hash": "m9mj4ctIVR8"
  }
}

sms_hash boleh diganti, nohp saya samarkan.

Response

{
  "response_code": "OV00000",
  "response_message": "Success",
  "data": {
    "otp": {
      "otp_ref_id": "4d5e1669-dae2-48bf-b0e7-3030ebbb16f6",
      "type": "LOGIN",
      "expires_at": 1618766220,
      "retry_remaining": 4,
      "cooldown_period": 60,
      "length": 4,
      "reff_type": "OTP"
    }
  }
}

STEP 2

POST /v3/user/accounts/otp/validation HTTP/1.1
Request

{
  "channel_code": "ovo_android",
  "device_id": "87586011-0127-3469-aa2a-6016a68d45f6",
  "msisdn": "+62xxx",
  "otp": {
    "otp": "1448",
    "otp_ref_id": "4d5e1669-dae2-48bf-b0e7-3030ebbb16f6",
    "type": "LOGIN"
  }
}

Response

{
  "response_code": "OV00000",
  "response_message": "Success",
  "data": {
    "otp": {
      "otp_ref_id": "4d5e1669-dae2-48bf-b0e7-3030ebbb16f6",
      "type": "LOGIN",
      "expires_at": 1618765116,
      "otp_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJjb2RlaGFzaCI6Ik56QmxOelJpTnpNNE1EZ3dORFZqWTJGaU9USXdaR1E1WmpZMU5qaGxaakkiLCJyYW5kb20iOiJNakEyTXprME1EUTAiLCJ2ZXJzaW9xxxxxxxxxxxx"
    },
    "registration_origin": {
      "full_name": "SXXXXXXXXX",
      "registration_origin_name": "OVO",
      "email": "linXXXXXXXXXm"
    }
  }
}

STEP 3

Mendapatkan public keys
GET v3/user/public_keys

STEP 4

POST https://agw.ovo.id/v3/user/accounts/login
Request Body

{
   "channel_code":"ovo_android",
   "credentials":{
      "otp_token":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJjb2RlaGFzaCI6IllqWXpZek15WmpFeFpqVXlOREEzWm1FeU1HVTJNakJsWWpFME56QXlZVFUiLCJyYW5kb20iOiJNalEwTWpVeU5qTTUiLCJ2ZXJzaW9uIjoxfQ.ap8bYmC05673QA2dTmhHw7L4SLsfpEXb_VG1c53Sxxxxxx",
      "password":{
         "format":"rsa",
         "value":"QsP7bC/kLduJyBoM6gT/8sasabiwnOlt9j8JvbIs4Z/eXQU7ZPYsF3NkBgJGkHQziitktdinvZG8\nBwXpH6h2BvbtNvIa/eBY2x8TUqqNmBWoK3fj2ESNR58VxdJy+kS99WyXqs4SXdKFKBS+Y2N87+Md\nXqrDaxFPZ62JVKQ/uQ8xTNVnFT+zDV6s4i8GqWgKOUSnfknyPRUN4QVHUy4KaEerxOTtmvR2qRLg\nrKUNkFo6RAHS2K59P2UbSLP4OW06gEAJ+502pafHZwdEWZb78WyQLPH+Iym7TC0+ZA0Th71ghX/F\nRo73NuXDkqLUjzkKWL3/Y8N4Y4oEljPwhh+hVg==\n"
      }
   },
   "device_id":"87586011-0127-3469xxxxxxxxxx",
   "msisdn":"+6282xxxxxxxx",
   "push_notification_id":"fs-DYcGaRbKERLhF4hkQ92:APA91bEjjUFzzFvadIKtdrrqsyrGH26xLRR5-Oyym2l9Ybv0O1cnvqA14ghuTbXz0ogazN-Kw6iGxW2klakANBaVXoFCLrT4hWJJ5FCGOz2o5bGE7RX6XpxndNkcxnqpWat449vBvYSa"
}

Response

{
   "response_code":"OV00000",
   "response_message":"Success",
   "data":{
      "auth":{
         "access_token":"eyJhbGxxxxxxciOiJSUzI1NiJ9.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.a75AvydQ9aTgluJwial4YBKom0PoGJxwdMiKryo5ruzCObWcH56mBChuwKLBHwdUTgGRXbwe07CQPa3i55rtuUEJwOwl6l4Uv3-BEqhUP0oRoNqwdyH1qzaeldQ_77toqL0HG6wFcEU0WnVwVtfQuFoV8GrMSJSCVTwHhxzbKo7VDnsTve8a96tE9o1XFQ0vQywoqn16FR8Dame6ptSRouqJTdsKMW3OAWLOLs0q-3Vpa2AP5IjN-y9v-EMzF4NkRUPhNPmCN91JudIqj-0Eif9q5Vf0JFClDIfB53QVC3nLgGliul5EnhxN70butsL1lBSx7LDPpDF1pN-RerKRCQ",
         "token_type":"Bearer",
         "expires_in":1623504062,
         "refresh_token":"eyJhbGciOiJSUzI1NiJ9.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.a75AvydQ9aTgluJwial4YBKom0PoGJxwdMiKryo5ruzCObWcH56mBChuwKLBHwdUTgGRXbwe07CQPa3i55rtuUEJwOwl6l4Uv3-BEqhUP0oRoNqwdyH1qzaeldQ_77toqL0HG6wFcEU0WnVwVtfQuFoV8GrMSJSCVTwHhxzbKo7VDnsTve8a96tE9o1XFQ0vQywoqn16FR8Dame6ptSRouqJTdsKMW3OAWLOLs0q-3Vpa2AP5IjN-y9v-EMzF4NkRUPhNPmCN91JudIqj-0Eif9q5Vf0JFClDIfB53QVC3nLgGliul5EnhxN70butsL1lBSx7LDPpDF1pN-RerKRCQ",
         "scope":"user"
      },
      "account":{
         "ovo_id":"008103xxxxxxx",
         "msisdn":"08213xxxxxxxx",
         "account_status":"REGISTERED",
         "kyc_status":"",
         "authentication":"PROVIDER_OTP_PASSWORD_ENCRYPTED",
         "push_notification_id":"fs-DYcGaRbxxxxxxxxxxA91bEjjUFzzFvadIKtdrrqsyrGH26xLRR5-Oyym2l9Ybv0O1cnvqA14ghuTbXz0ogazN-Kw6iGxW2klakANBaVXoFCLrT4hWJJ5FCGOz2o5bGE7RX6XpxndNkcxnqpWat449vBvYSa"
      }
   }
}

[cvkjm]

Not found nih

[lintangtimur]

yang v3 base url nya https://agw.ovo.id/

[lintangtimur]

Contoh header

GET /v3/user/public_keys HTTP/1.1
OS: Android
OS-Version: 7.1.1
App-Version: 3.32.1
client-id: ovo_android
device-id: 87586011-0127-3469-aa2a-6016a68d45f6
Host: agw.ovo.id
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/4.9.0

[g00m00nry0ng]

barusan coba, response nya null dan sms OTP yg masuk tidak berupa angka melainkan berupa link. 2x hit selalu seperti ini, dan begitu yg ketiga dapat response : "{"data":null,"response_code":"OV00015","response_message":"Sabar ya, permintaan kode udah diproses."}"

setelah menunggu beberapa saat dan hit lagi, namun tetap berupa link seperti di awal.

[lintangtimur]

berupa link karena login di device baru, ada cooldown 60 detik sesudah permintaan OTP

[cvkjm]

maaf mau tanya setelah dapat public keys rsa lalu bgmn ya request nya? soalnya saya coba2 bad request melulu

[lintangtimur]

ada endpoint lagi, user request ke server, ada parameter password tapi di encrypt dengan format RSA.
perlu di reverse APK nya isi dari value passwordnya. Mungkin value dari public keys nya untuk encrypt value nya.

[cvkjm]

Contoh requestnya gimana tu gan keluar link gitu?

…

On Mon, Jun 14, 2021, 12:44 PM William Lie ***@***.***> wrote: Gan setelah panggil endpoint otp, malah berubah jadi link { "response_code": "OV00000", "response_message": "Success", "data": { "otp": { "otp_ref_id": "0577b2ee-9314-4383-b0cd-b2a23a9e91d0", "type": "LOGIN", "expires_at": 1623650989, "retry_remaining": 2, "cooldown_period": 120, "length": 25, "reff_type": "LINK" } } } — You are receiving this because you commented. Reply to this email directly, view it on GitHub <#46 (comment)>, or unsubscribe <https://github.com/notifications/unsubscribe-auth/AR42Z75VH4EOH6ZQLU7DBC3TSWJM7ANCNFSM43EORJ5A> .

[Willi8910]

Iya gan tidak bisa juga, harus verifikasi pakai device id yg sama

[g00m00nry0ng]

Trus lanjut ke step 2 gimana ya. Soalnya step 1 selalu kirim link, dan kalau ga bisa di verifikasi di device yg sama, ga akan ngirim otp angka yg dibutuhkan buat step 2.

[Willi8910]

Saya sudah bisa gan tapi otpnya diganti jadi request part 'code' yg dikirim melalui sms
Jadi seperti ini requestnya

{
"channel_code": "ovo_android",
"device_id": "87586011-0127-3469-aa2a-6016a68d4500",
"msisdn": "+6289xxxx",
"otp": {
"otp": "ef479da7d0ec0eb51b55ae900f90e2826a1e4620840e86a0faa8215e09cea615",
"otp_ref_id": "0577b2ee-9314-4383-b0cd-b2a23a9e91d0",
"type": "LOGIN"
}
}

Di step 2 gini gan punya saya, otpnya itu berupa code link dari sms yg diterima

[g00m00nry0ng]

@Willi8910 mantab. ane juga coba sukses step 2. makasih gan. jadi udah sukses sampe dapet authetication token ya gan?

[Willi8910]

Belum gan, masih stuck juga di step 4

[lintangtimur]

kalo login di device baru, akan dapet link, link itu dibuka yang ada app ovo nya.
Trus akses ke endpoint public key, lanjut ke step 4.

[g00m00nry0ng]

step 1 gan. yg kalau hit 2x berturut-turut akan mendapat reponse : {"data":null,"response_code":"OV00015","response_message":"Sabar ya, permintaan kode udah diproses."}

Nah hit pertama kali yg menghasilkan link otp ke sms. responsenya seperti itu

[g00m00nry0ng]

@lintangtimur maaf gan, yg response aneh abaikan saja. Sepertinya ada masalah dengan Server saya tadi coba di tempat lain response aman.

Tinggal problem gimana verifikasi link nya ini karena sudah beberapa kali coba ga bisa karena dianggap beda device_id sepertinya

--edited--

step 1 sudah aman menggunakan cara agan @Willi8910 sekarang tinggal step 4 belum sukses di bagian password

[skyyynewbies]

@g00m00nry0ng saya juga stuck di step 4, masnya udah solved?
resultku
{
"data": null,
"response_code": "OV00002",
"response_message": "Bad Request: Invalid decrypted string for action: LOGIN"
}

[skyyynewbies]

@Willi8910 punya mas udah solved step 4 nya?

[g00m00nry0ng]

@g00m00nry0ng saya juga stuck di step 4, masnya udah solved?
resultku
{
"data": null,
"response_code": "OV00002",
"response_message": "Bad Request: Invalid decrypted string for action: LOGIN"
}

Belum gan, masih stuck juga di step 4

[g00m00nry0ng]

Barusan coba step 4 dengan password yg sama seperti contoh di atas dapat respon begini

{
"data": null,
"response_code": "OV00539",
"response_message": "PIN payload validation failed"
}

sepertinya password dibentuk salah satu komponennya dari PIN.

[lintangtimur]

coba di cek decompile APK nya, trus di cek parameternya

[g00m00nry0ng]

udah coba baca-baca isi decompile APK, tapi masih ga sampe ilmu saya gan. keyword RSA juga ada beberapa salah satunya yg agan post di #54

[skyyynewbies]

udah bisa tapi stuck di step 4.
{
"data": null,
"response_code": "OV00002",
"response_message": "Bad Request: Invalid decrypted string for action: LOGIN"
}

[lintangtimur]

#54

[ii64]

Ada update terbaru tentang ini?

Gw ada ide supaya ga terlalu banyak reverse + implementasi
Pake gRPC aja, jadi gateway client
Barusan aja buat, pas cek login2FA ternyata error haha, jd mampir kesini, ternyata udh lama, pernah buat yg py jg jadi spontan biar spec nya sama, pake gRPC

bisa lihat2 di sini
https://github.com/ii64/go-ovo

[ii64]

https://github.com/ii64/go-ovo/blob/main/proto/service.proto

[ii64]

buat group diskusi di Discord / Telegram / Slack mungkin supaya bisa notice update, faster ovo bisa lihat kita, tapi kita harus reverse haha

[ii64]

ii64#6077

[lintangtimur]

kenapa dibuat grpc? bukannya tetap harus di reverse ya, untuk dapat param dan responsenya.
Added discord

[ii64]

Yea atleast, autogenerated dari IDL, portable ke languages tinggal pake grpc gateway client

[SilentX26]

Invalid Decrypted String / PIN payload validation failed

Untuk yg stuck di step 4 dan mengalami error sperti diatas, error tsb terjadi karna parameter value pada key password tidak valid.

Parameter tsb seharusnya adalah string payload yang di enkripsi menggunakan public key yang di dapatkan dari user/public_keys, lalu di encoding menggunakan base64.

Flow lengkapnya dibawah ini:

1. data yang di enkripsi berupa string dengan pola berikut: "LOGIN|" + securityCode + "|" + currentTimeMillies + "|" + deviceId + "|" + phoneNumber + "|" + deviceId + "|" + otpRefId.
2. Keterangan:
   • securityCode: berupa PIN akun ovo anda
   • currentTimeMillies: berupa waktu (dalam milisecond) pada saat anda hit ke API OVO
   • deviceId: berupa device id anda
   • phoneNumber: berupa nomor HP anda
   • otpRefId: berupa ref id otp yang didapat pada saat request OTP
3. Contoh: "LOGIN|123456|1628222553987|abcdefgh|+628xxxxxxx|abcdefgh|xxxxxxxxxxx"
4. data di enkripsi menggunakan public key yang didapat dari user/public_keys
5. di encoding menggunakan base64

[SilentX26]

@skyyynewbies @SilentX26

Boleh minta tolong ga gan ?
2 hari ini saya coba", responsenya masih aja selalu

{
"data": null,
"response_code": "OV00002",
"response_message": "Bad Request: Invalid decrypted string"
}

Source code punya agan gimana ya ? untuk bagian encryptnya.

Punya saya kaya gini (Python) :

password = "LOGIN|{}|{}|{}|{}|{}|{}".format(security_code, current_millis(), device_id, phone, device_id, otp_ref_id)

keyPub = RSA.importKey(public_key)
encryptor = PKCS1_OAEP.new(keyPub)
encrypted = encryptor.encrypt(password.encode('ascii'))

return base64.b64encode(encrypted).decode()

Terima kasih

punya saya begini gan untuk step ke 4 nya, pake PHP:
barusan saya test masih aman akses token berhasil didapatkan.

[SilentX26]

{
"data": null,
"response_code": "OV00539",
"response_message": "PIN payload validation failed"
}

masih error, padahal payload udah bener

LOGIN|XXXXXX|1628222553987|87586011-0127-3469-aa2a-6016a68d4XXX|+6285156714xxx|87586011-0127-3469-aa2a-6016a68d4XXX|7f0e4c34-6613-48d9-bd8f-4d9dd6b91afb

mungkin salah dibagian enkripsi nya gan.

[herihermwn]

{
"data": null,
"response_code": "OV00539",
"response_message": "PIN payload validation failed"
}
masih error, padahal payload udah bener

LOGIN|XXXXXX|1628222553987|87586011-0127-3469-aa2a-6016a68d4XXX|+6285156714xxx|87586011-0127-3469-aa2a-6016a68d4XXX|7f0e4c34-6613-48d9-bd8f-4d9dd6b91afb

mungkin salah dibagian enkripsi nya gan.

Oke gan, saya coba lagi

[herihermwn]

Untuk python code enkripsi sudah bisa dan berhasil ketika saya test .

Codenya seperti berikut :

Semoga bisa membantu yang lain ^_^

[lintangtimur]

Untuk python code enkripsi sudah bisa dan berhasil ketika saya test .

Codenya seperti berikut :

Semoga bisa membantu yang lain ^_^

bisa di PR ke @ii64

[lintangtimur]

+"response_message": "Anda Tidak Memiliki Akses"
masih ini di step 4, coba kirim contoh full header + format telpon

[herihermwn]

+"response_message": "Anda Tidak Memiliki Akses"
masih ini di step 4, coba kirim contoh full header + format telpon

Gini gan,

Headers:
{
'OS': 'Android',
'OS-Version': '9.0',
'App-Version': '3.32.1',
'client-id': 'ovo_android',
'device-id': device_id,
'Host': 'agw.ovo.id',
'Connection': 'close',
'Accept-Encoding': 'gzip, deflate',
'User-Agent': 'okhttp/4.9.0',
'Content-Type': 'application/json'
}

Format telpon:
+628588xxxxxxx

[lintangtimur]

#56 (comment)

[makanSukros]

Punten, apakah di sini ada yang mengalami hal yang sama, untuk endpoint get list mutasi (wallet/v2/transaction) mendapatkan return error seperti ini

{
error: { message: 'Transaction Not Found', code: 'OV00009' },
status: 404,
message: 'Data Not Found!'
}

[makanSukros]

Punten, apakah di sini ada yang mengalami hal yang sama, untuk endpoint get list mutasi (wallet/v2/transaction) mendapatkan return error seperti ini

{ error: { message: 'Transaction Not Found', code: 'OV00009' }, status: 404, message: 'Data Not Found!' }

@lintangtimur @ii64

[lintangtimur]

Hi,
Ini saya barusan test di versi OVO terbaru 3.73.1 tidak ada hasil capture dari endpoint tersebut
yang saya temukan
GET https://agw.ovo.id/payment/orders/v1/list?page=1&limit=15&productType=001

Header yang harus ada:
Authorization bearer token dan Client-Id:ovo_android