खेल "फ्रेम द्वारा एनीमे का अनुमान लगाएं" - धोखा के खिलाफ सुरक्षा

संभवतः, कई ने उन खेलों में भाग लिया जहां फिल्म या श्रृंखला का अनुमान लगाना आवश्यक था। बहुत बार ऐसे विषय-खेल मंचों पर पाए जाते हैं। और हाल ही में उन्होंने मुझे एक साइट दिखाई जो पूरी तरह से फ्रेम द्वारा एनीमे का अनुमान लगाने के लिए समर्पित है। एक स्वचालित गेम के साथ: उत्तर विकल्पों के साथ, खाते के बिंदुओं को लेना।

कई खेलों के बाद, एक एनिमेशनिक के रूप में मेरी रुचि संतुष्ट थी, और एक आईटी विशेषज्ञ ने मुझे जगाया। यह दिलचस्प हो गया, और साइट पर धोखाधड़ी के खिलाफ सुरक्षा क्या है। एक संक्षिप्त विश्लेषण के दौरान, यह पता चला कि धोखाधड़ी के खिलाफ सुरक्षा के साथ, सब कुछ दुखद है, आप जेएस के प्रारंभिक ज्ञान के साथ भी गेम को हैक कर सकते हैं। यह मेरे आईटी हित से बाहर हो जाएगा, लेकिन नहीं, मैंने सोचा कि सामान्य रूप से इस तरह के खेल को सिनेमाघरों से बचाने के लिए क्या किया जाना चाहिए। तो यह लेख दिखाई दिया।

^{(चित्र ध्यान आकर्षित करने के लिए)}

इसके बाद, मैं खेल में पाई जाने वाली कमजोरियों और ऐसे खेलों के लिए धोखाधड़ी के खिलाफ सुरक्षा के तरीकों के बारे में बात करूंगा, जिनके साथ मैं आने में कामयाब रहा।

खेल का सार

प्रत्येक चरण पर, खिलाड़ी को एनीमे और 4 उत्तर विकल्पों में से एक फ्रेम दिखाया जाता है, जिनमें से 1 सही है। पहले गलत तरीके से तय किए गए फ्रेम तक गेम चलता है। प्रत्येक फ्रेम के लिए, खिलाड़ी को 15 सेकंड दिए जाते हैं। आप एक बार शॉट को छोड़ सकते हैं या "50 बाय 50" प्रॉम्प्ट का उपयोग कर सकते हैं।

तकनीकी विवरण और हैकिंग का खेल

साइट के पृष्ठों के यूआरएल को देखकर, मैंने आसानी से पाया कि यह PHP में काम करता है। और यह तथ्य कि पेज को फिर से लोड किए बिना गेम खेला गया था, AJAX का उपयोग करने के बारे में बात की थी। क्लाइंट कार्यक्षमता केवल कनेक्टेड game.js. स्क्रिप्ट में थी

खेल की सुरक्षा में मुझे निराश करने वाली पहली बात यह थी कि game.js बाधित नहीं है। अतिरिक्त रिक्त स्थान वहां हटा दिए जाते हैं, लेकिन, इसके अलावा, कोड अपने मूल रूप में है।

लेकिन सब कुछ भी दुखी था। फायरबग को लॉन्च करने और AJAX प्रतिक्रियाओं की सामग्री को देखकर, मुझे एक बहुत ही दिलचस्प पैरामीटर मिला।

हां, इस पैरामीटर में 0 से 3 तक सही उत्तर के सूचकांक के अलावा कुछ भी नहीं था। मुझे उम्मीद नहीं थी कि सब कुछ इतना सरल होगा कि यह भी दिलचस्प नहीं था। उम्मीद है कि अनुमान लगाने के लिए Google छवियां कनेक्ट करना आवश्यक होगा।

आगे तकनीक का मामला था। सबसे पहले मैंने जेएस ब्यूटीफायर के माध्यम से game.js से कोड को पास किया था, जो पठनीय कोड प्राप्त कर रहा था। कोड काफी सरल और बिना किसी सुरक्षा के निकला। AJAX की प्रतिक्रियाओं को स्टार्टिंग फंक्शन में संभाला गया। जो कुछ भी था वह इस समारोह को फिर से परिभाषित करने के लिए था। ऐसा करने के लिए, मैंने एक छोटी चिकनाई की स्क्रिप्ट को जोड़ा।

स्क्रिप्ट में, मैंने बस XML से प्राप्त प्रतिक्रिया संख्या का उपयोग करके वांछित बटन पर प्रकाश डाला। इसके बाद, उन्होंने 2 सेकंड के बाद स्वचालित रूप से इसे दबाया। मैं कोड नहीं दूंगा, इसलिए चिट्ठियों का लालच नहीं करना चाहिए, अगर वे चाहें तो उन्हें थोड़ी देर के लिए सोचने दें। वस्तुतः 3 रेखाएँ हैं। लेकिन मुझे आश्चर्य था कि इस तरह के संरक्षण के साथ शीर्ष में अधिकतम अंक के साथ कोई भी नहीं दिखाई दिया।

खेल की कमजोरी और धोखाधड़ी के खिलाफ सुरक्षा

विकल्प और पहेली के साथ, सही उत्तर के हस्तांतरण को नाम देना मुश्किल है, यहां तक ​​कि कमजोर बिंदु भी, लेखक आमतौर पर चीटर्स के बारे में नहीं सोचते थे। सही उत्तर की संख्या, ज़ाहिर है, सत्र में संग्रहीत की जानी चाहिए और सर्वर साइड पर जाँच की जानी चाहिए, जो PHP का उपयोग करना आसान है।

पहली चीज जिस पर मैं विचार करूंगा वह है क्लाइंट-साइड प्रोटेक्शन। जेएस में खेल की दो सीमाएं हैं: यह स्वचालित रूप से समाप्त हो जाता है यदि फ्रेम का अनुमान लगाने का समय समाप्त हो गया है, या किसी अन्य विंडो पर स्विच करने के मामले में। यह मेरे लिए पूरी तरह से स्पष्ट नहीं है कि किसी अन्य विंडो में स्विच करना क्यों वर्जित है, जबकि समय पहले से ही सीमित है। केवल अगर खिलाड़ी जल्दी से फ्रेम गूगल नहीं करता है। लेकिन इसलिए साइट के रचनाकारों का फैसला किया।

दूसरी विंडो पर स्विच करने से सुरक्षा।
इसका कमजोर बिंदु यह है कि जेएस ग्राहक द्वारा पूरी तरह से नियंत्रित है। आप समस्या को पूरी तरह से हल नहीं कर सकते, आप केवल एक हमलावर को हैक करना मुश्किल बना सकते हैं। किसी भी तरह से जेएस में परिवर्तन से खेल की रक्षा करने के लिए, यह, निश्चित रूप से, इसे बाधित करने की आवश्यकता है। हर बार पेज लोड होने के बाद हर बार फ्लाई पर एक जेएस-फाइल को उत्पन्न करना और उसमें बाधा डालना बहुत अच्छा होगा, वहां एक निश्चित टोकन की गणना के विभिन्न कार्यों को रखा जाएगा, जिसे AJAX के माध्यम से जांचा जाएगा। इसलिए हमलावर के लिए JS को बदलना मुश्किल होगा। मुश्किल है, लेकिन काफी नहीं।

अंत में, किसी अन्य विंडो पर स्विच करने से सुरक्षा को अक्षम करने के लिए, आपको बस window.onblur को फिर से परिभाषित करना होगा। लेकिन यह भी हल किया जा सकता है अगर हम समय-समय पर जांच करें कि क्या इस घटना के हैंडलर को ओवरराइड किया गया है।

var onblur_handler = function() { alert('game over'); }; window.onblur = onblur_handler; var check_onblur = function() { if (window.onblur !== onblur_handler) { alert(', !     IP.   !'); window.onblur = onblur_handler; } } setInterval(check_onblur, 2000); // evil code setTimeout(function() { window.onblur = function() { console.log('cheating'); }; }, 2500); 

एक हमलावर, निश्चित रूप से, हमारे जेएस को बिल्कुल भी निष्पादित नहीं कर सकता है, लेकिन अगर यह बाधित है, और यहां तक ​​कि AJAX अनुरोध के लिए कुछ टोकन शामिल हैं, तो यह एक परेशानी होगी।

इस प्रकार, यह पता चलता है कि हमारे आवेदन को जेएस से प्राप्त प्रतिक्रिया संख्या और टोकन को सर्वर पर भेजना होगा; और सर्वर से अगली छवि और उत्तर विकल्पों के लिए एक लिंक स्वीकार करें।

समय सीमा।
एक समय सीमा के साथ, आप ग्राहक पक्ष पर सुरक्षा को छोड़कर, ऐसा ही कर सकते हैं। लेकिन आप सर्वर पर समय की जाँच करके इसे सुरक्षित भी खेल सकते हैं। लेकिन यह विचार करने योग्य है कि चित्र ग्राहक द्वारा तुरंत प्रदर्शित नहीं किया जाता है, और बटन पर क्लिक करने के बाद सर्वर से अनुरोध तुरंत नहीं आता है। इसलिए, आपको क्लाइंट को सर्वर की तुलना में कुछ हेड स्टार्ट देने की आवश्यकता है। यह क्लाइंट के "बैकलॉग" का विश्लेषण करने के लिए आदर्श होगा, और केवल तभी उपाय करें जब यह महत्वपूर्ण हो।

बार-बार फ्रेम करना।
यह मुद्दा पूरी तरह से सुरक्षा से संबंधित नहीं है, लेकिन मैं इस पर भी विचार करूंगा। लब्बोलुआब यह है कि चूंकि फ्रेम बेतरतीब ढंग से चुने जाते हैं, तो एक गेम में दो फ्रेम मेल कर सकते हैं। यह सही नहीं है। समस्या को काफी सरलता से हल किया जा सकता है। यह देखते हुए कि फ्रेम की कुल संख्या बहुत बड़ी नहीं है, आप खेल की शुरुआत में सभी फ्रेम (या उनके पहचानकर्ता) को सरणी में लोड कर सकते हैं, इसे क्रमबद्ध रूप से सॉर्ट कर सकते हैं, सत्र को सरणी को बचा सकते हैं, और बदले में खिलाड़ी को फ्रेम जारी कर सकते हैं। PHP में, यादृच्छिक क्रम में सॉर्ट करने के लिए बस एक फ़ंक्शन है।

 shuffle($screenshots); 

स्क्रीनशॉट के लिंक।
खेल का एक और कमजोर बिंदु स्क्रीनशॉट लिंक है। गेम की वेबसाइट पर, उन सभी के पास फ़ॉर्म /web/ANIME_ID/SCREENSHOT_INDEX.jpg का प्रारूप है, अर्थात, इसका उत्तर पहले से ही छवि पते में हाइलाइट किया गया है। इसलिए, स्क्रीनशॉट को सीधे पेरालिंक्स न दें। आप हमेशा उसी पते का उपयोग करके PHP का उपयोग करके स्क्रीनशॉट दे सकते हैं। प्रत्येक नई पहेली से ठीक पहले, आपको सत्र में चयनित फ्रेम के पहचानकर्ता को बचाने और एक विशिष्ट फ़िश स्क्रिप्ट को एक्सेस करने पर इस फ़्रेम को भेजने की आवश्यकता है।

समस्या स्क्रीनशॉट की अंतिम संख्या है।
अंत में, सबसे कठिन समस्या। तथ्य यह है कि फ़्रेम की संख्या सीमित है, इसलिए नए गेम में उन्हें दोहराया जाएगा। एक हमलावर बस एक प्रोग्राम लिख सकता है जो सभी फ़्रेमों और संबंधित एनीमे को इकट्ठा करता है। फिर यह केवल सहेजे गए सभी सेटों के साथ वर्तमान फ्रेम की तुलना करने के लिए एक अन्य कार्यक्रम की मदद से बना हुआ है। मैं ध्यान देता हूं कि यदि लिंक समस्या का समाधान नहीं किया गया था, तो यह हमलावर के लिए केवल लिंक की तुलना करने के लिए पर्याप्त होगा।

वास्तव में, समय के साथ कोई भी खिलाड़ी उन फ़्रेमों को याद कर सकता है जो दोहराए जाएंगे। लेकिन सिनेमाघरों के विपरीत, वह इसे अपने दम पर करेगी। थिएटर से निपटने के लिए, यह केवल प्रोग्राम की तुलना करने की प्रक्रिया को जटिल बनाने के लिए रहता है।

लक्ष्य को प्राप्त करने के लिए, उपयोगकर्ता को हर बार एक फ्रेम प्रसारित किए जाने पर उसमें परिवर्तन करना आवश्यक होगा। यदि आप ऐसा नहीं करते हैं, तो हमलावर के लिए एक ही फ्रेम की दो समान फाइलें ढूंढना आसान होगा। आप PHP के साथ शामिल GD लाइब्रेरी का उपयोग करके चित्रों को बदल सकते हैं।

सबसे सरल बात यह है कि ग्राहक को प्रेषित जेपीईजी की गुणवत्ता को बेतरतीब ढंग से बदलना है।

 function open_screenshot($filename) { return imagecreatefromjpeg($filename); } function echo_screenshot($image) { $quality = rand(60, 100); ob_start(); imagejpeg($image, null, $quality); $buffer = ob_get_clean(); header('Content-Type: image/jpeg'); header('Content-Length: '.strlen($buffer)); echo $buffer; } $image = open_screenshot(dirname(__FILE__).'/1.jpg'); echo_screenshot($image); 

यदि यह पर्याप्त नहीं है, तो आप चमक और इसके विपरीत या अन्य फिल्टर के साथ खेल सकते हैं।

 function filter_image($image) { $brightness = rand(-10, 10); $contrast = rand(-10, 10); imagefilter($image, IMG_FILTER_BRIGHTNESS, $brightness); imagefilter($image, IMG_FILTER_CONTRAST, $contrast); return $image; } 

हालांकि, ये सभी जोड़तोड़ केवल रंगों को थोड़ा विकृत करते हैं, लेकिन साधारण पिक्सेल-बाय-पिक्सेल तुलना की संभावना को छोड़ देते हैं। कार्य को जटिल करने के लिए, आप फ्रेम को क्षैतिज और लंबवत रूप से काट सकते हैं, अनुपात रख सकते हैं और फिर मूल आकार में बड़ा कर सकते हैं।

 function cut_image($image) { $k = rand(98000, 100000) * 0.00001; $w1 = imagesx($image); $h1 = imagesy($image); $w2 = round($k * $w1); $h2 = round($k * $h1); $x = rand(0, $w1 - $w2); $y = rand(0, $h1 - $h2); $result = imagecreatetruecolor($w1, $h1); imagecopyresampled ($result, $image, 0, 0, $x, $y, $w1, $h1, $w2, $h2); return $result; } 

अब, अगर खेल में बहुत सारे फ्रेम हैं, तो तुलना का कार्य इतना तुच्छ नहीं होगा। हालांकि अगर हमलावर की Google छवियां पर तुलना एल्गोरिदम है, तो यह एक बाधा नहीं होगी। और फ्रेम के छोटे संस्करणों की तुलना करते समय फसल का प्रभाव भी कम होता है।

चित्र में उपरोक्त विधि द्वारा प्राप्त 6 फ्रेम विकल्प शामिल हैं। जैसा कि आप देख सकते हैं, हर जगह चमक और कंट्रास्ट के अलग-अलग मूल्य हैं। यदि आप बारीकी से देखते हैं, तो आप पा सकते हैं कि कुछ फ़्रेमों में छवि दूसरों के मुकाबले किनारों पर अधिक क्रॉप होती है।

वैसे, मैं banal google स्क्रीनशॉट के खिलाफ सुरक्षा के साथ नहीं आया था। क्या यह इसे और भी विकृत करने के लिए है, लेकिन यह मानव मान्यता को प्रभावित कर सकता है।

शायद यह सब मैं इस मामले में सिनेमाघरों के खिलाफ सुरक्षा के तकनीकी पक्ष के बारे में कह सकता हूं। मुझे लगता है कि इस तरह के विचार जल्द या बाद में किसी भी डेवलपर के दिमाग में आएंगे जो इस तरह के खेलों की रक्षा करने की परवाह करता है।

निष्कर्ष

मैं अभी भी आईटी हित से बाहर साइट पर धोखा देने में संलग्न नहीं था, क्योंकि इस स्तर पर हैकिंग सुरक्षा को डींग मारने का एक बड़ा कारण नहीं है।

वास्तव में, धोखाधड़ी के खिलाफ सुरक्षा की कमी भी सुरक्षा है। वास्तव में, इस मामले में धोखा कुछ भी नहीं देता है, और अनुचित खेल आसानी से इसमें कोई दिलचस्पी नहीं मारता है। बेशक, अगर कोई साइट वास्तविक रेटिंग को बनाए रखना चाहेगी, तो वह सुरक्षा का ध्यान रखने लायक होगा।

वैसे, मैं यह नोट करना चाहता हूं कि इस लेख में वर्णित कुछ को न केवल इस तरह के खेल पर लागू किया जा सकता है, बल्कि कुछ और अधिक गंभीर भी। उदाहरण के लिए, ऑनलाइन परीक्षण।

पुनश्च

मैंने अभी भी साइट का पता नहीं लिखा है, ताकि वह विज्ञापन की तरह न दिखे। लेकिन मैं आपके साथ "स्क्रीनशॉट से साइट का अनुमान" नहीं खेलूंगा। प्रश्न में साइट का अनुमान है ।
मुझे साइट से कोई लेना देना नहीं है। यदि लेख मालिकों को किसी तरह छूता है, तो मुझे क्षमा करें।