डायमंड डैश, या कैसे अपने ऑनलाइन अनुप्रयोगों की रक्षा करने के लिए नहीं

मुझे खेलना और खेल पसंद नहीं है। लेकिन मुझे हमेशा दिलचस्पी थी कि वे कैसे काम करते हैं और उनकी क्या कमजोरियां हैं, वे सर्वर पर क्या संचारित करते हैं। इससे पहले हब पर डायमंड डैश गेम की कमजोरियों पर लेख थे,
और फिर, डायमंड डैश
ब्राउज़र गेम के लिए मैक्रो बॉट लिखना

मुझे इस खेल में भी दिलचस्पी थी, मैंने इसका पता लगाने का फैसला किया।
आगे देखते हुए, मैं कहता हूं कि खेल के अध्ययन के परिणामस्वरूप, एक स्क्रिप्ट लिखी गई थी जो किसी भी (!!!) व्यक्ति और खेल के लिए रेटिंग बढ़ा सकती है और इसके लिए फेसबुक पर इस व्यक्ति की आईडी जानना पर्याप्त है।


सर्वर में सफल डेटा ट्रांसफर के लिए, डेटा के अलावा, वर्तमान निरपेक्ष समय और अनुरोध के पोस्ट पथ में कुछ रहस्यमय हस्ताक्षर प्रसारित करना आवश्यक है।
खेल के अंत के बाद सामान्य अनुरोध इस तरह दिखता है:

POST / game / eor /! टाइमस्टैम्प = 1328793172978 और हस्ताक्षर = ktVfjD3VFg2EG2GNiBlTgVnBg4TZJ3-DGkbAsuWirw% 3D और सत्र = 1100447b5bb0d01c14a974bc63318c633c61818
होस्ट: dd.wooga.com
कनेक्शन: जीवित रखें
कंटेंट-लंबाई: 136
मूल: http://cdn-dd.wooga.com
उपयोगकर्ता-एजेंट: मोज़िला / 5.0 (X11; लिनक्स i686) AppleWebKit / 535.7 (KHTML, जैसे गेको) क्रोम / 16.0.912.77 सफारी / 535.7
सामग्री-प्रकार: आवेदन / json
स्वीकार करें: * / *
स्वीकार-एनकोडिंग: gzip, deflate, sdch
स्वीकार-भाषा: ru-RU, ru; q = 0.8, en-US; q = 0.6, en; q = 0.4
स्वीकार-सारसेट: विंडोज़ -१२५१, यूटीएफ-;; q = ०. windows, *; q = ०.३

{"fireballs_used": 0, "xp": 75, "ध्वनि": सच, "रत्न_महिला": 65, "स्कोर": 19430, "स्तर": 100, "प्लाज्मा_बर्स्ट_उपयोग": 0, "user_id": "मेरी आईडी "}

उपरोक्त लेखों को पढ़ने के बाद, मैंने सर्वर को वांछित डेटा भेजने की कोशिश की, और सर्वर से मेरे लिए हस्ताक्षर पैरामीटर उत्पन्न करने की अपेक्षा की, लेकिन नहीं, यह सब उसने मुझे बताया: हस्ताक्षर बेमेल!

अगला कदम खेल के स्रोत कोड पर शोध करना था। तो इसे बंद करो। सोर्स कोड क्या है? o_O। सच है, कोई गेम स्रोत नहीं हैं, लेकिन यह एक्शनस्क्रिप्ट में लिखा गया है, और इस अद्भुत भाषा के लिए कोई कम उल्लेखनीय डिकंपाइलर नहीं हैं। ऐसा ऐतिहासिक रूप से हुआ कि मैं ट्रिलिक्स का उपयोग करता हूं, हालांकि कई अलग-अलग फ्लैश बाइनरी डिकम्पोजर हैं और हब पर एक समीक्षा भी थी।

तो, स्रोत कोड।
Google Chrome ब्राउज़र के अंतर्निहित विकास उपकरण आपको वह सब कुछ देखने की अनुमति देते हैं जो पृष्ठ लोड करता है, विशेष रूप से, मैंने अनुरोधों की एक सूची देखी है और यह cdn-dd.wooga.com/assets/DiamondDash-fe2222a63919abae44ca4d0ac97c.swf है, जो आपको अनुमान लगा सकता है;

सूत्रों के मनोरंजक पढ़ने के कई घंटों के बाद, कोड में ऐसे दिलचस्प स्थान पाए गए:

आंतरिक कार्य विस्तारकूट ( ) : शून्य
{
var loc1: * = नेट। वोगा । हीरा साझा किया । उपयोग । getTimestamp ( ) ;
var loc2: * = नेट। वोगा । हीरा सेवा । उपयोग । GenerRequestSignature ( loc1 + this । userId + this_requestDetails; requestData ) ;
loc2 = एस्केप ( loc2 ) ;
यह ._requestDetails। url = यह ._requestDetails। url + ( " ; टाइमस्टैम्प =" + loc1 + "& हस्ताक्षर =" + loc2 + "और सत्र" " + यह +। sessionId + " & api_version = 2 " ) ;
वापसी;
}



सार्वजनिक कार्य उत्पन्न करता हैसामान्य अवधि ( arg1: स्ट्रिंग ) : स्ट्रिंग
{
var loc1: * = new com। बाधा उत्पन्न करनेवाला । क्रिप्टो । हैश । HMAC ( नया कॉम। हर्लेंट । क्रिप्टो । हैश । SHA256 ( ) ) ;
var loc2: * = नया फ्लैश। बर्तन । बाइटअरे ( ) ;
loc2। WrUTFBytes ( नेट। वूगा । डायमंडडैश । सेवा । SHARED_SECRET ) ;
var loc3: * ;
( loc3 = नया फ़्लैश। बर्तन। बाइटएयर्रे ( ) ) । wrUTFBytes ( arg1 ) ;
var loc4: * ;
वापसी loc4 = ( loc4 = ( loc4 = com। हर्लेंट । उपयोग। Base64) । encodeByteArray ( loc1। कंप्यूट ( loc2, loc3 ) ) ) । प्रतिस्थापित करें ( नया RegExp ( " \ + , " g " ) , " - " ) )) । बदलें ( नया RegExp ( " \ / " , "g" ) , "_" ) ;
}


पैकेज नेट। वोगा । हीरा सेवा
{
public const SHARED_SECRET: स्ट्रिंग = "foeD4ktl2gdoDdle" ;
}

कोड के इन वर्गों से आप हस्ताक्षर बनाने के लिए देख सकते हैं:
base64(SHA256(_ + id_ + _, SHARED_SECRET)).
उसके बाद, एक और परिवर्तन + से - और \ / करने के लिए।

चेक किया गया - हस्ताक्षरित, अनुरोध सफलतापूर्वक पूरा हुआ।

अगली चीज जो मैं करना चाहता था, वह एक न्यूनतम, सफलतापूर्वक निष्पादित अनुरोध लिख रहा था। परिणाम निम्नलिखित है:

पोस्ट http://dd.wooga.com/game/eor/?timestamp=$time&signature=rr%3D&api_version=2 HTTP / 1.1
होस्ट: dd.wooga.com
सामग्री-प्रकार: आवेदन / json

$ डाटा

और ओह हॉरर !!! कोई सत्र आईडी पैरामीटर नहीं है !!! वह है, प्रमाणीकरण वास्तव में नहीं किया जाता है, और आने वाले सभी अनुरोध केवल हस्ताक्षर और डेटा के अनुपालन के लिए जांचे जाते हैं। इसका अर्थ है कि आप user_id अनुरोध क्षेत्र में कोई भी आईडी निर्दिष्ट कर सकते हैं और इस उपयोगकर्ता के बिना किसी को भी रेटिंग बढ़ा सकते हैं।

यहाँ डायमंडडैश पर शोध करने के बारे में मेरी कहानी है।
मैं सभी डेवलपर्स को हमेशा सुरक्षा के बारे में सोचने की सलाह देना चाहता हूं, और कभी भी भरोसा नहीं करता कि बाहरी दुनिया से आपके सर्वर पर क्या आता है। अपने आप को हैकिंग से पूरी तरह से सुरक्षित करना असंभव है, लेकिन आप कोड विश्लेषण को इसके लायक नहीं बना सकते हैं। इस खेल में, सत्र पैरामीटर की शुद्धता, अच्छी तरह से और सुरक्षा की एक उत्कृष्ट विधि की जांच करना सार्थक होगा - कार्यक्रम को संकलित करने के बाद, कक्षाओं, विधियों और क्षेत्रों के नाम बदलें ताकि कोड अर्थ खो देता है।
अंत में, पूरा अनुरोध निष्पादन कोड:

#! / usr / bin / perl -w

LWP का उपयोग करें :: UserAgent ;
डाइजेस्ट का उपयोग करें :: SHA qw ( hmac_sha256_base64 ) ;

$ ua = नया LWP :: UserAgent ;
$ userID = "123456789123456" ;
$ समय = समय ;

$ डेटा =
qq # {"प्लाज्मा_बर्स्ट्स_यूस्ट": 0, "स्कोर": 10000000, "स्तर": 100, "रत्न_ प्रिय": 165, "user_id": "$ userID", "ध्वनि": सत्य, "xp": 100, "fireballs_used ": 1} #;

$ r = hmac_sha256_base64 ( $ समय । $ userID । $ डेटा , "foeD4ktl2gdoDdle" ) ;
$ r = ~ s / ± / g ;
$ आर = ~ एस / \ / // _ / जी ;

$ रेक =
qq #POST http://dd.wooga.com/game/eor/?timestamp=$time&signature=$r%3D&api_version=2 HTTP / 1.1
होस्ट : डी.डी. वोगा । कॉम
सामग्री - प्रकार : आवेदन / json

$ डेटा #;

$ req = HTTP :: अनुरोध -> पार्स ( $ req ) ;

$ ua प्रिंट करें -> simple_request ( $ req ) -> as_string ( ) ;