GodMode in Backyard Monsters या "आप एप्लिकेशन के साथ डेटा का आदान-प्रदान कैसे करते हैं"

एक दोस्त के शब्दों से प्रकाशन।

एक बार मुझे Google+ पर गेम बैकयार्ड दानव खेलने के लिए आमंत्रित किया गया था। खेल बुरा नहीं है, इंटरनेट पर वे लिखते हैं कि यह सामाजिक नेटवर्क पर लगभग # 1 खेल है। मैंने खुद को खेलते हुए खेला, और एक बार (किसी भी प्रोग्रामर की तरह) यह खेलना उबाऊ हो गया। कार्यों को पूरा करने के लिए लंबी उम्मीदें, कार्यों की उच्च लागत (उन्नयन, नए ठिकानों पर कब्जा करना) ने खेल को एक तरह के खेत में बदल दिया - अंदर चला गया, "काटा" (खेत नोक, क्रेप्स), कुछ घर को कई घंटों तक सोते रहें (कुछ एक सप्ताह या उससे अधिक उन्नत हो जाएंगे) )। एक बॉट लिखने के बारे में एक विचार था। यहाँ सुरक्षा में HOLES से विस्मय शुरू हुआ।

आरंभ करने के लिए, मैंने ट्रैफ़िक को सूँघा (Wireshark का उपयोग करके), देखा कि ग्राहक और सर्वर क्या अनुरोध कर रहे हैं। एक बार आश्चर्य: एक्सचेंज सादे पाठ में है (यह JSON का उपयोग करने के लिए निकला)। मापदंडों के प्रतिस्थापन के साथ खेलने की कोशिश केवल एक अमान्य हैश त्रुटि के कारण हुई। ठीक है, चलो फ्लैश ड्राइव को खुद ही चुनें।
इंटरनेट ने इस उद्देश्य के लिए AS3 जादूगर को सलाह दी। फ्लैश ड्राइव प्राप्त करना कोई बड़ी बात नहीं थी। हम तैयारी के लिए आगे बढ़ते हैं।

एक छोटी पिकिंग के बाद, सर्वर को "संदेश" भेजने के लिए एक प्रक्रिया पाई गई थी। और इसके ठीक बगल में उसी हैश को जेनरेट करने के लिए एल्गोरिथम है - यह भेजे गए डेटा, "हस्ताक्षर" संदेश के आधार पर उत्पन्न होता है। यह सुनिश्चित करने का प्रयास करने का समय है कि अनुमान सही हैं या नहीं। हम एक अजगर लेते हैं, डेटा भेजने / प्राप्त करने के लिए, इंटरनेट अनुरोधों का संकेत देता है। हम अपने डेटाबेस पर जानकारी प्राप्त करने की कोशिश कर रहे हैं। और ... लाभ! एक संपर्क है। हुर्रे !!!
इंटरनेट की सलाह के अनुसार, ast.literal_eval(text.replace('null','None')) एक स्ट्रिंग (JSON फॉर्मेट) से एक प्रतिक्रिया को डेटा में बदलने के साथ काम करेगा। यह पार्स करने के लिए पर्याप्त है (प्लस हमारे जानवर के लिए कुछ और रिप्ले)। पायथन जसन मॉड्यूल बाद में आया, और सब कुछ आसानी से इसके साथ काम नहीं किया। उत्तर में दिलचस्प से:

{'fbid': '116797799793671216717', 'basevalue': 172461612,
'buildingdata': {'4787': {'l': 6, 't': 25, 'Y': -115, 'X': 235, 'id': 4787, 'fort': 4}, ...},
'resources': {'r4': 47358582, 'r1': 36449238, 'r1max': 75050000, 'r3': 72963216, 'r3max': 75050000, 'r2': 24155238, 'r2max': 75050000, 'r4max': 75050000},
'champion': {'ft': 1340003358, 'hp': 29751, 'l': 6, 'fb': 0, 'fd': 1, 't': 3},
'academy': {'C3': {'powerup': 3, 'level': 6}, ...}, 'quests': {'C51': 2, ...},
'credits': 4045, 'baseid': 1000071112, 'lockerdata': {'C10': {'t': 2}, ...}, 'userid': 79671, 'createtime': 1334196000, ...

fbid एक G + पहचानकर्ता निकला, जिसे आपको उपयोगकर्ता प्रोफ़ाइल को देखने की आवश्यकता है।

डाउनलोड सफल रहा, आपको कुछ बचाने की कोशिश करने की आवश्यकता है। ट्रैफ़िक की जांच, फ्लैश ड्राइव टेक्स्ट, त्रुटियों के साथ कई प्रयास, टूटा हुआ (इसलिए गेम में प्रवेश न करें) और सफलतापूर्वक डेटाबेस को पुनर्स्थापित किया - और इसके परिणामस्वरूप हमारे पास सर्वर के लिए वैध डेटा भेजने के लिए एक कार्यशील मॉड्यूल है। कुछ अच्छाइयों को तुरंत पाया गया (और बाद में एहसास हुआ): अपने लिए किसी भी राशि के संसाधनों को स्थापित करना, किसी भी इमारत को खोदने की क्षमता, एक चैंपियन को पंप करना, स्तरों और क्षमताओं पर राक्षसों को पंप करना, तुरंत किसी भी रचना की एक सेना तैयार करना, फ्लाई एगारिक्स इकट्ठा करना (आधे घंटे में 240 सिक्के)। आपको और क्या चाहिए?

आइए दुनिया के चारों ओर देखें, अर्थात् मानचित्र पर। स्निफा, इन्फ्लूएंजा, लंघन, हम परिणाम प्राप्त करते हैं - दुनिया का एक नक्शा। यहाँ क्या दिलचस्प है?
{'53': {'77': {'c': 4, 'b': 3, 'uid': 79671, 'f': 4, 'i': 163, 'bid': 1000012527, 'fbid': 9223372036854775807L, ...}, ...

गेम यूजर आईडी, बोली आधार पहचानकर्ता। fbid सभी के लिए समान है। अजीब ... आगे के विश्लेषण से पता चला कि पड़ोसी की यात्रा को देखने के लिए आपको केवल उस बोली की आवश्यकता है जो हम पहले से जानते हैं। सॉफ्टवेयर में देखने की कोशिश ... जवाब से, मेरी नजर मेरे माथे पर चढ़ गई। और इमारतों के बारे में और चैंपियन के बारे में और राक्षसों के बारे में और उनके उन्नयन के बारे में और दुकान की अनावश्यक सामग्री और खिलाड़ी के संसाधनों की मात्रा का पूरा डेटा। वे सबको बताते हैं जैसे मैं घर गया। खैर ... आप देख सकते हैं कि खेती करने के लिए कौन अधिक लाभदायक है। उह ... यह क्या है ...? दुश्मन fbid !!!

हम सर्वर के साथ एक "वार्तालाप" के लिए आवश्यक मापदंडों को देखते हैं, सबसे आवश्यक पाते हैं, बदले में कुछ को त्यागते हैं ... दो आश्चर्य हैं - हमें केवल एफबीआईडी (जी + आईडी) और कुछ स्थिरांक चाहिए। तो यह ... किसी भी पड़ोसी की fbid बिना किसी समस्या के प्राप्त किया जाता है ... हम जांचते हैं - आँखें और भी बड़ी हैं। यह क्या है? न केवल आप खुद के साथ कुछ भी कर सकते हैं, क्या आप अपने पड़ोसियों के लिए उत्सव की व्यवस्था भी कर सकते हैं? तो चलिए करते हैं। हम अनाम थोर डालते हैं, ताकि चमक न जाए, और आगे बढ़ें। इस प्रक्रिया में, कम आश्चर्य, नए ज्ञान का एक हिस्सा और कुछ प्रशंसक।

नतीजतन, यह और यह सामने आया।

सभी खिलाड़ियों (राक्षसों और चैंपियन के साथ) के मुख्य ठिकानों को खोदा गया, कई सौ (या हजारों को दान किया गया? जो उन्हें गिनता है) सभी को सिक्के (जो अधिक है, जो कम है), दुनिया में से एक में कब्जा कर लिया (पाया गया जिसने सबसे लंबे समय तक नहीं खेला है और इसे बनाया है) चंगेज खान) पूरे क्षेत्र (जंगली जनजातियों, माध्यमिक खिलाड़ी ठिकानों) और कुछ दिनों के बाद अपनी मूल स्थिति में लौट आया। मुख्य खिलाड़ी ठिकानों की योजना रखी गई है (मंच पर संबंधित विषय हटा दिया गया है)।

Congregate में बिल्कुल वही छेद होता है, जो गेम का केवल नया संस्करण है। लेकिन फेसबुक पर (डेवलपर्स के लिए) स्थिति बेहतर है। केवल अपने डेटा के साथ जैसा आप चाहते हैं वैसा ही दिखावा करना संभव है। यहाँ प्राधिकरण के लिए एक पैरामीटर के रूप में हस्ताक्षरकर्ता के रूप में डिफेंडर की भूमिका में हैं।

यहां आप Google+ के लिए काम करने वाले चीटर का स्रोत कोड ले सकते हैं।