कैसे मैंने गलती से ईए से एक ब्राउज़र गेम सर्वर को गिरा दिया

वास्तव में, मुझे नहीं पता था कि नाम में विषय की सामग्री को अधिक सटीक रूप से कैसे व्यक्त किया जाए - इसलिए मैंने इस तथ्य पर खेलने का फैसला किया कि कोई मेरी छोटी कहानी में दिलचस्पी लेगा। परीक्षण के महत्व और आपके आवेदन की सुविचारित वास्तुकला के बारे में एक विषय, भले ही आप एक गंभीर संगठन हों।

मैं ब्राउज़र गेम का नाम नहीं लिखूंगा, विषय के लिए यह कोई फर्क नहीं पड़ता। हम इलेक्ट्रॉनिक आर्ट्स (ईए गेम्स) से एक ब्राउज़र रणनीति के बारे में बात कर रहे हैं।

दरअसल आगे की कहानी खुद ही।

इस वर्ष के वसंत में, अपने दिमाग को उतारने के लिए अपने खाली समय में कुछ करने की खोज करते हुए, मुझे एक ऑनलाइन रणनीति के बारे में पता चला, जो मेरे लिए चुपचाप समय बिताने के लिए काफी दिलचस्प लग रहा था। यह गेम बहुत ही सुंदर था, ग्राफिक्स के मामले में बहुत सुंदर और पहली बार आकर्षक भी। लगभग सभी ब्राउज़र रणनीतियों का सार काफी समान है, संसाधन प्राप्त करें, इकाइयों का निर्माण करें, लूटें और अंतहीन शहरों के इत्मीनान से निर्माण का आनंद लें।


मेरी नाखुशी के लिए (और शायद खुशी भी) मैं कर्तव्य पर नीरस व्यापार नहीं कर सकता, हालांकि यह कुछ को कुछ खुशी देता है :)। खेल की प्रक्रिया जल्दी से इसके बारे में थक गई, जिसे एक चैट के बारे में नहीं कहा जा सकता है जिसमें आप कृपया मज़ेदार हो सकते हैं, आप कह सकते हैं कि मैं थोड़ा ट्रोल की तरह खिलखिलाता हूं (मैं इस तरह की तुलना के लिए कहता हूं) और इससे मुझे बहुत खुशी मिली, riveting इकाइयों की तुलना में अधिक निर्विवाद रूप से। दरअसल, मध्यस्थों से अगले प्रतिबंध के बाद, मैंने थोड़ा और सोचा था कि मैं अपने एफएक्यू का उपयोग कैसे कर सकता हूं।

यह विचार खेल के लिए एक सरल चैट बॉट बनाने का था, जो कि लॉग इन कर सकता है, "हेलो, अद्भुत दुनिया!" जैसे तैयार वाक्यांशों के साथ चैट में थोड़ा सा कनेक्शन और स्पैम का समर्थन कर सकता है। यह सरल PHP में लिखा गया था, यह एक नियमित वर्चुअल सर्वर से एक मिनट में एक बार ताज पर चलाया गया था। दरअसल, बॉट ने सफलतापूर्वक मॉडरेटर्स से बैन पकड़ा जब एक और विचार मुझे हुआ। तथ्य यह है कि खेल में आंतरिक मेल है। यह विचार बहुत सरल था, सर्वर पर सभी शीर्ष खिलाड़ियों के नाम को पार्स करते हुए (यह लगभग 1,500 उपनामों से निकला), मेरे बॉट, या मुकुट द्वारा लॉन्च की गई इसकी 5 प्रतियां, पत्र भेजना शुरू कर दिया, प्राप्तकर्ता के रूप में एक यादृच्छिक उपनाम चुनना। मुझे तुरंत यह कहना होगा कि पत्र दुर्भावनापूर्ण नहीं थे, केवल स्पैम के बहुत तथ्य की पुष्टि करने के लिए, क्योंकि खेल में प्राप्त पत्रों से कोई सुरक्षा नहीं थी, परिणामस्वरूप, लोगों को काफी नुकसान हुआ जब उनके मेलबॉक्स में 100 या 200 अनावश्यक पत्र थे। मुझे पता है कि यह बहुत सुंदर नहीं है, लेकिन उस समय मैं कम से कम लोगों के इस रवैये के बारे में चिंतित था, मैंने खेल में एक छोटे से खेल के रूप में सब कुछ माना।

कुछ समय बाद, मैंने खेल में आंतरिक मेल भेजते समय एक महत्वपूर्ण विवरण पर ध्यान आकर्षित किया (जो वास्तव में एक घातक भूमिका निभाई), अर्थात्, "कॉपी" फ़ील्ड, जिसे मैंने पहले भी नहीं देखा था। वास्तव में एक पत्र भेजने का एक स्क्रीनशॉट:



यह पता चला कि कॉपी फ़ील्ड में एक कोलोन द्वारा अलग किए गए 200 नाम शामिल हो सकते हैं, जो आपको प्रत्येक उपनाम को पत्र की एक प्रति भेजने की अनुमति देता है, परिणामस्वरूप, एक समय में, आप 201 पत्र भेज सकते हैं और यह हर 1-2 सेकंड में एक बार किया जा सकता है। यदि कई बॉट हैं, तो यह स्पष्ट हो जाता है कि यह पहले से ही सर्वर पर एक सभ्य भार है (जैसा कि मैंने बाद में समझा)।

बॉट्स की कई प्रतियों ने तुरंत सर्वर पर एक छोटे आर्मगेडन की व्यवस्था की, इस तथ्य के कारण कि सभी खिलाड़ियों को बहुत कम समय में दसियों और सैकड़ों पत्र प्राप्त होने लगे। प्रभाव तेजस्वी था और वास्तव में मुझे खिलाडियों की प्रतिक्रिया से प्रसन्नता हुई कि क्या हो रहा है। कुछ समय बाद, सर्वर पर अजीब चीजें होने लगीं।

तथ्य यह है कि खेल में, अन्य चीजों के अलावा, अधिशेष संसाधनों को बचाने के लिए एक तंत्र है, यदि, उदाहरण के लिए, आपका गोदाम भरा हुआ है - आपको उनके साथ कुछ करने की आवश्यकता है। इसलिए, डेवलपर्स ने विभिन्न प्रकार के सुधारों, निर्माण, और इतने पर आवश्यक अन्य प्रकारों के लिए पारंपरिक संसाधनों के हस्तांतरण के लिए एक तंत्र प्रदान किया। यदि मेरी स्मृति मुझे सही सेवा देती है, तो 10,000 वुड 1 ट्वाइलाइट ट्री, या कुछ इस तरह से बदल जाता है। इसके अलावा, खेल में भुगतान की जाने वाली सेवाएं हैं, तथाकथित मंत्री, जो, जब गोदाम भरा हुआ होता है, खिलाड़ी के बजाय स्वचालित रूप से संसाधनों को अभिजात वर्ग में स्थानांतरित कर देते हैं।

इसलिए, निम्नलिखित स्थिति बदल गई, लाखों अभिजात वर्ग के संसाधन वाले खिलाड़ी दिखाई देने लगे (और यह बहुत, उस खेल के लिए बहुत अधिक है), यह स्पष्ट नहीं था कि वे कहाँ से आए थे, लेकिन सब कुछ काफी सरल निकला। खिलाड़ियों के मंत्री (जिनसे वे खरीदे गए थे), गोदामों की ओवरफिलिंग (उस खेल में एक सामान्य बात) के अधीन, संसाधनों को संभ्रांत लोगों को हस्तांतरित करने के लिए आदेश भेजते थे, जाहिर है, बहुत कम अंतराल पर, लेकिन क्योंकि टीमों की कतार बॉट्स द्वारा भेजे गए पत्रों से भरी हुई थी। खिलाड़ियों, प्रसंस्करण संसाधनों के लिए टीमें अभी जमा हुई हैं।

जब संसाधनों को परिवर्तित करने के लिए संचित आदेशों की बारी आई, तो उन्हें इस तरह की कार्रवाइयों की संभावना के लिए सर्वर से अतिरिक्त सत्यापन के बिना प्रदर्शन किया गया था, जाहिर है कि चेक केवल कार्य पंक्तिबद्ध होने पर किया गया था, लेकिन जब यह पूरा नहीं हुआ था, जो अंततः सर्वर की अर्थव्यवस्था का पूर्ण पतन हुआ। और खेल को जारी रखने की पूर्ण अक्षमता, क्योंकि कुछ खिलाड़ियों ने एक बड़ा गेमिंग लाभ प्राप्त किया है।

इसके बाद, सर्वर 5 या 6 युगपत बॉट लॉन्च किए जाने के बाद और सुरक्षित रूप से नीचे जाने के बाद उल्लेखनीय रूप से पिछड़ने लगा।

बेशक, मुझे इस तरह के परिणामों की उम्मीद नहीं थी, गिर सर्वर और अर्थव्यवस्था के विनाश के रूप में, लेकिन यह दर्शाता है कि वास्तुकला और परीक्षण कैसे महत्वपूर्ण हैं।

वैसे, अगले दिन मुझे यह ईमेल यहाँ मिला:

हाय बिल्कुल,
मेरा नाम डेविड है और मैं ईए फेनोमिक में ग्लोबल कम्युनिटी मैनेजर हूं और * गेम के नाम * के लिए जिम्मेदार हूं।

हमने * गेम नाम * में आपकी हाल की गतिविधि पर ध्यान दिया और चैट में और आपके खातों और आईपी पर प्रतिबंध लगाने के लिए आपके खातों को म्यूट करना शुरू किया। मैं हमारे सर्वर पर इन उग्र गतिविधियों के लिए आपके कारण जानना चाहता हूं और आप इसके साथ क्या हासिल करना चाहते हैं।

मैं आपको इसे रोकने की सलाह देता हूं, क्योंकि हमने आपके खातों पर रोक नहीं लगाई है। इस तरह का व्यवहार आपके अन्य ईए खातों और खेलों को भी प्रभावित कर सकता है।

सबसे अच्छा संबंध है,
डेविड को मिटा दिया

पत्राचार के दौरान, मैंने असुविधा के लिए माफी मांगी और इस तरह के सोमरस को अब और नहीं करने का वादा किया, इसलिए सब कुछ अच्छी तरह से समाप्त हो गया।

अद्यतन: वैसे, बाद में, उन्होंने उपाय किए और खिलाड़ियों को इतने पत्र भेजने की अनुमति नहीं दी, जिससे कुछ उचित समय सीमा में कार्रवाई सीमित हो गई। तो, आप कह सकते हैं, मैंने सिर्फ समस्या की ओर इशारा किया

सबसे दिलचस्प बात यह है कि एक ही खेल में एक बहुत ही अप्रिय एक्सएसएस पाया गया था जो आपको "भयानक" चीजें करने की अनुमति देता है। उन्होंने ईए में इसके बारे में लिखा, उन्होंने इसे बहुत लंबे समय के लिए, लगभग दो महीने तक मरम्मत किया, इस दौरान मैंने इसके उपयोग के साथ कुछ प्रयोगों का आयोजन किया, मैं बता सकता हूं कि क्या यह समुदाय के लिए दिलचस्प होगा।

XSS के बारे में:
"विषय" फ़ील्ड में एक पत्र भेजते समय, एक XSS भेद्यता थी, वास्तव में, इसके माध्यम से कुकीज़ चोरी करना संभव था, लेकिन सभी नहीं, लेकिन केवल सबसे अधिक भोज वाले - भाषा सेटिंग्स, उपस्थिति, और इसी तरह, लेकिन हम सत्र के साथ आवश्यक कुकी प्राप्त करने में विफल रहे, जाहिरा तौर पर। केवल HTTP के लिए। शायद मैंने कुछ गलत किया, बात नहीं।

इसलिए, विषय क्षेत्र में 100 वर्ण सम्मिलित करना संभव था, और इस तथ्य के कारण कि इसे फ़िल्टर्ड नहीं किया गया था, किसी भी HTML टैग को सम्मिलित करना संभव था, जो मैंने वास्तव में "iframe" के माध्यम से एक पूर्व-निर्मित पृष्ठ को सम्मिलित करके किया था, निम्न जैसा कुछ (स्क्रीनशॉट) सहेजे नहीं गए थे , इसे स्पष्ट करने के लिए एक उदाहरण दिया गया है):


यह सामान्य पत्र है जो खिलाड़ी को प्राप्त हुआ है।


और यह इस बात का एक उदाहरण है कि "iframe", "div", "img" या अन्य टैग का उपयोग करके किस क्षेत्र को अवरुद्ध किया जा सकता है, वास्तव में, आप वहां youtube से एक वीडियो भी डाल सकते हैं (जो कि मैंने वास्तव में किया था), पृष्ठभूमि संगीत लोडिंग विशेष थी पत्र को बंद करने के बाद भी खेलना जारी रखा।

इसके बाद, एक और "शानदार" विचार मेरे दिमाग में आया। यदि आप पत्र में आधिकारिक साइट से स्क्रीनशॉट लेते हैं और ईए मैनेजमेन्ट या उस पर कुछ इसी तरह लिखते हैं, तो लोग सोचेंगे कि गेम का प्रशासन उन्हें लिख रहा है, जिसका इस्तेमाल व्यक्तिगत लाभ के लिए किया जा सकता है। मैं तुरंत ध्यान नहीं दूंगा कि मुझे अन्य लोगों के खाते प्राप्त करने में कोई दिलचस्पी नहीं है, फिर भी मुझे नहीं पता कि उनके साथ क्या करना है और लोगों को नुकसान पहुंचाना है, लेकिन ब्याज की भावना बहुत बड़ी थी। “सच में सफल? क्या यह संभव है कि सर्वर पर हुई हर चीज के बाद कोई पकड़ा जाए? ”- मेरे पास उस समय कुछ ऐसे विचार थे।

योजना के कार्यान्वयन में ज्यादा समय नहीं लगा, मैंने लगभग 1000 खिलाड़ियों को एक पत्र भेजा, जिसके बाद मुझे लगभग 100-120 पासवर्ड मिले। मुझे नहीं पता कि यह शब्द * facepalm * यहाँ उपयुक्त है, लेकिन उस समय या अब कुछ भी ध्यान में नहीं आता है। उसी शाम, मैंने एक ही खेल के एक यूरोपीय सर्वर पर एक समान प्रयोग किया - केवल प्रशासन से "माना जाता है" एक पत्र भेजा - जिसके बाद 1000 खिलाड़ियों में से मुझे केवल 10-20 पासवर्ड प्राप्त हुए। ऐसा क्यों है - मुझे नहीं पता, शायद मानसिकता एक भूमिका निभाती है, क्योंकि जब आप ईमेल प्राप्त करते हैं, तो ईए आपको अग्रिम में चेतावनी देता है कि किसी को भी आपके उपयोगकर्ता नाम / पासवर्ड न भेजें, लेकिन हमारे आदमी ने लंबे समय से सभी प्रकार की चेतावनी पढ़ने की आदत खो दी है, शायद व्यर्थ में :)