можно ли взломать браузерные игры
Можно ли взломать онлайн игры c помощью ArtMoney?
В статье идет речь о такой программе как ArtMoney. В частности рассматриваются случаи, когда возникает вопрос: «А может ли ArtMoney использоваться в онлайн играх?».
Программа ArtMoney предназначена для редактирования параметров в компьютерных играх, для получения бесконечных денег, жизней, патронов и тому подобных ресурсов. Она умеет сканировать память или файлы игры. В следствии, это используется для поиска каких-то определенных значений (деньги, ресурсы и так далее). Таких значений может быть великое множество, но пользователю понадобится выбрать конкретно те, которые его заинтересуют. Поэтому поиск разделяется на два этапа: поиск значений и отсев ненужных значений. В итоге получаем адреса, в которых находятся числа, и их можно изменить на те, которые непосредственно необходимы пользователю. Специальные методы позволяют обмануть даже игры, в которых нет числовых видимых значений (например, графическая полоска маны) или игры, которые кодируют свои данные.
Взлом онлайн игр
Сегодня онлайн играми увлекаются великое множество людей. Виртуальными достижениями часто хвастаются не только на просторах сети, но и в компании реальных друзей. В отличие от стационарных игр, все прохождение которых может занимать несколько часов, развитие в сетевых приложениях может быть ничем не ограничено, а для получения новых уровней придется тратить целые дни, недели и месяцы. Поэтому, многих пользователей интересует возможность взлома онлайн игр.
Изменить данные в компьютерных играх всегда можно было с помощью секретных кодов или специальных программ, однако, онлайн приложения хранят всю свою информацию на удаленных серверах и для ее редактирования нужно разрешение или доступ, поэтому такой способ не подходит. Теоретически никаких ограничений на взлом не существует, но современные системы безопасности онлайн игр очень надежны и порой обойти их крайне сложно. Чаще всего для накрутки различных показателей используются боты, автоматизирующие некоторые игровые процессы.
Подобная активность может вызвать подозрения. А когда причина будет установлена, может последовать реакция администрации. Если взломщик сможет предоставить доказательства разработчикам о том, что произошла ошибка, и он не прибегал к использованию каких-либо сторонних программ, то никакого наказания не будет. Напротив, если это баг, иногда за это полагается вознаграждение. Но в случае использования уязвимостей в личных целях, пользователь нарушает лицензионное соглашение, которое всегда имеется в открытом доступе. В таком случае аккаунт хакера обязательно будет заблокирован. Бывают случаи, когда взлом нанес владельцам игры материальный урон, например, приложение некоторое время было неработоспособно, то взломщика может ожидать судебный иск, в котором будут требования компенсации ущерба.
Наказание за использование ботов может отличаться: от самого мягкого – снятия всех заработанных таким образом баллов, до вечной блокировки аккаунта без права обжалования.
Часто в интернете можно увидеть объявления о программах для взлома, которые можно скачать бесплатно. Скорее всего, за ними скрываются трояны и вирусы, которые стремятся завладеть личной информацией пользователя, или внести изменения в работу компьютера.
Универсального способа обхода защиты онлайн игр не существует, если же Вы нашли такой софт, с помощью которого игру и можно взломать, то она должна быть не онлайн, а таких программ достаточно. Послужить примером такой программы может ArtMoney или альтернативные программы. Она сумеет легко справиться с поставленной задачей.
ArtMoney и взлом онлайн игр
По утверждению разработчика ArtMoney не может работать в режиме сетевой игры, поскольку ресурсы могут дублироваться на нескольких устройствах, и их изменение на одном (непосредственно на вашем компьютере) не приведет к успеху, хотя и тут есть свои исключения.
Практика указывает на то, что некоторые онлайн приложения не имеют защиту совсем. Исходя из этого, когда мы запускаем такую игру, все данные сервера дублируются на Ваше устройство (в оперативную память) и оказываются в свободном доступе. Следовательно, программа ArtMoney имеет возможность найти и подвергнуть изменению какие-либо данные.
Получаем вывод, что использование ArtMoney в онлайн играх возможно. Но стоит обратить внимание на то, что большинство всех программ, игр или приложений, связанных с работой по сети, имеют защиту, даже самую простую. А когда присутствует защита данных, то использование универсальных взломщиков не возможна.
Стоит отметить то, что все действия, произведенные при использовании программы ArtMoney, не являются противозаконными или запрещенными. Она не предназначена для взлома паролей, серийных номеров, обхода защиты от копирования и тому подобных действий, противоречащих лицензионным соглашением. Многие считают программу «взломщиком игр», но правильнее называть ее «редактором игр». Данные подвергаются поиску и изменению, но не могут быть взломаны, так как программа не предусматривает обход какой-либо защиты.
Опираясь на всю вышеперечисленную информацию, строится вывод: если Вы решили попробовать изменить какие-либо значения Ваших ресурсов в онлайн игре с помощью ArtMoney, то скачать и установить бесплатную версию ArtMoney можно перейдя по ссылке на главной странице нашего сайта.
Возможен ли взлом онлайн игр
Сегодня онлайн-играми увлекается очень много людей. Виртуальными достижениями часто хвастаются не только на просторах сети, но и в компании реальных друзей. В отличие от стационарных игр, все прохождение которых может занимать несколько часов, развитие в сетевых приложениях может быть ничем не ограничено, а для получения новых уровней придется тратить целые дни. Поэтому многих интересует возможен ли взлом онлайн игр.
Изменить данные в компьютерных играх можно было с помощью секретных кодов или специальных программ, однако, онлайн-приложения хранят всю информацию на сервере и для ее редактирования нужно разрешение, поэтому такой способ не подходит. Теоретически никаких ограничений на взлом не существует, но современные системы безопасности очень надежны и обойти их крайне сложно. Чаще всего для накрутки различных показателей используются боты, автоматизирующие некоторые игровые процессы.
Подобная активность может вызвать подозрения, когда причина будет установлена может последовать реакция администрации. Если взломщик сообщит разработчикам об ошибке, то никакого наказания не будет, напротив, иногда за это полагается вознаграждение. Но в случае использования уязвимости в личных целях аккаунт хакера обязательно будет заблокирован. Когда взлом нанес владельцам игры материальный урон, например, приложение некоторое время было неработоспособно, то взломщика может ожидать судебный иск с требованием компенсации ущерба. Наказание за использование ботов может отличаться: от самого мягкого – снятия всех заработанных таким образом баллов, до вечной блокировки аккаунта без права обжалования.
Часто в интернете можно увидеть объявления о программах для взлома, которые можно скачать бесплатно. Скорее всего, за ними скрываются вирусы, которые стремятся завладеть личной информацией пользователя, или внести изменения в работу компьютера, например, отправлять спам с его адреса. Универсального способа обхода защиты онлайн игр не существует, если игру и можно взломать, то она должна быть не онлайн а оффлайн и таких прог кстати достаточно например программа для взлома игр Артмани PRO может с этим справится легко.
Другим способом обмана является продажа подобных приложений, разумеется, они не работают, и хорошо, если в них не требуется вводить никаких паролей. Не стоит доверять скриншотам, на которых изображены внушительные цифры, чаще всего они обработаны в графическом редакторе.
Взлом онлайн игр на компьютере:
Онлайн игры в большинстве случаев имеют свои защиты от читерских программ типа артмани или читэнжин многие знают EAC (Easy Anti Cheat), при запуске лицензионной игры сначала запускается защитник потом процесс игры. Если вы серьезно настроены на читы и найдете общедоступные то вас может забанить система защиты, не пустить в игру, испортить репутацию в Steam и тд. если уж использовать читы то приватные которые стоят денег, и то даже таких порой дефицит.
Взлом игр подменой сейвов (сохранений):
Вариант с подменой сохранений интересен так как бан в таком случае практически не возможно получить, разве что вы как то сами не спалитесь и на вас не настучат, спалится можно уникальными предметами в играх которые выдают за выполнение какого то ивента в определенные временные периоды, или вещи стримеров. Заменяйте сейвы только проверенные с пониманием того что вы делаете.
Данный метод может не сработать так как популярные онлайн игры постепенно переносят сейвы игроков на свои сервера и замена сейвов на компьютере не заменит сохранения на серверах так как они синхронизируются в процессе игры.
Используйте легкое преимущество в место взлома игр:
Использовать легкое преимущество, очень многие используют данный метод, так как он безопасный, в чем он заключается?
Во многих онлайн играх ограниченный набор изменений графики в игре, но в большинстве случаев можно изменить некоторые параметры графики через конфигурационные файлы движка игры. Узнайте какой движок у вашей онлайн игры, погуглите конфиг файлы для изменении графики. Есть очень даже читерные конфигурации такие как например ускорение действий (speedhack) персонажа, или видеть сквозь какие то части текстур. Самое что интересное за такое не будут банить если только вы явно это не покажите кому либо и он пожалуется на вас разработчикам.
Взлом онлайн игр на Android:
Взлом подобных игр возможен но тут все индивидуально, но то что обязательным должно быть это РУТ права и программы поиска значений в приложениях. Пользователи ПК знают наверное программы Artmoney и Cheat Engine, вот подобные программы есть на андройд. Получение РУТ прав для каждого устройства индивидуально это вам нужно искать в поиске конкретно получение прав по вашему устройству. Мне нравится на андройд программа Game Guardian и GameCIH, их можно скачать в Плей маркете.
В чем подвох взлома онлайн игр на Android:
Популярные онлайн игры основные значения такие как значение монет или алмазов, держат на своих серверах и когда вы измените значения локально у вас на Андройде с помощью программ описанных выше, при обновлении они синхронизируются онлайн и значение будет выставлено с сервера, лично сталкивался как пример игра Hungry Shark.
Выход есть и есть способ взломать игры онлайн на Android:
Данный способ я лично использовал с игрой которая основные значения держит на своих серверах, можно использовать по примеру, я не пробовал ломать игры онлайн другие только одну, особо цели не было.
И так что же в этом способе особенного?
Все гениальное просто, я пошел другим путем я менял значения с помощью вышеописанных программ не основных значений а тех которые мне изменяли основной баланс.
Пример:
Каждый день за вход дают 1000 монет иногда больше, либо за какое то выполнение ежедневного квеста, когда за подобные заслуги дается награда у этих оповещений есть свое окно со значением кол-во монет, пробуйте менять это значение и когда вы нажмете принять награду в место назначенного числа на баланс зачислится столько сколько вам нужно.
Другой пример, акула стоит 500 000 монет, ищем это значение в игре их не так много, после отсеивания останется например 10 значений измените все на 1, измените вкладку, например перелистните на другую акулу-предмет и назад должно обновится цифра либо попробуйте купить. Таким образом можно купить предмет по гораздо меньшей стоимости чем заявлено)) в данный момент хранить абсолютно все значения на серверах игры проблематично и разработчики хранят только важные и взламываемые.
Демонстрация взлома игры для Андройд которая синхронизирует сохранения
Самые лучшие программы для взлома онлайн-игр. Проверенные программы для читинга
Если вас интересует взлом браузерной игры, то вы наверняка задумывались, какие имеются лучшие программы для взлома.
Ну, чтобы они были проверенными, надежными, и, главное, безопасными. Давайте обсудим эту тему.
Большинство таких программ условно можно разделить на две разновидности.
В первом случае изменяются различные параметры при помощи читов непосредственно в самой браузерке (редакторы сохранений и трейнеры), во втором – из игры извлекаются ресурсы (звуковые файлы, текстуры, анимация и тому подобное).
Мы обсудим самые эффективные, наилучшие программы обоих типов. Итак, вот список наилучших чит-программ, где вы узнаете их описание, а также научитесь ими пользоваться.
Из этой статьи вы узнаете:
CheMax и ArtMoney
Первая из программ – это целая база данных, имеющая хинты, читы-коды для большого количества онлайн-игр с разных платформ.
Имеет небольшие размеры, элементарный интерфейс, бесплатную площадку распространений, постоянно обновляется. CheMax просто скачивается с официального сайта.
Вторая программа применяется для того, чтобы изменить в браузерке параметры, такие как: игровая валюта, опыт, ресурсы, боеприпасы, здоровье.
Здесь можно самостоятельно все редактировать.
Если вы не нашли необходимых читов-кодов, то просто обращаетесь к этой программке. У ArtMoney имеется 2 версии – коммерческая и бесплатная.
Платная имеет дополнительные возможности, без которых в принципе можно обойтись. Аналогично первой программе скачивается с официального сайта.
Как пользоваться:
Например, вам хочется накрутить игровую валюту, делаете следующее:
Cheat Engine
Эта программа по взлому игр практически аналогична ArtMoney, но при этом отличается более продвинутыми инструментариями, плюс ко всем имеет редактор для создания трейнеров, которым успешно пользуются опытные геймеры.
А вот инструкция, как ею пользоваться: Например, вам надо накрутить игровую валюту в Subway Surfers.
Делаем все аналогично, как и в вышеприведенной инструкции.
Steam Achievement Manager
Эта читерская программа предназначается для взломов игровых достижений. Освоить ее по силам каждому, но при этом необходимо пользоваться предельно осторожно, иначе не миновать бана.
Не пытайтесь использовать эту программу для взлома новых браузерок и действуете строго пунктам инструкции.
Как пользоваться:
Horizon
А вот эта программа одна из наилучших при работе с файлами Xbox 360. Она имеет огромные возможности, с ее помощью вы сможете манипулировать с картой памяти, жестким диском, редактировать профиль, изменять параметры игры, менять аватар, делать взлом достижений.
Как и с предыдущей программой, здесь необходимо проявлять осторожность и не взламывать новые клиентские игры. Сделаем это на примере закачки игрыFable на флэшку.
Как пользоваться:
Dragon UnPACKer и Game Audio Player
С помощью первой программы по взлому можно извлекать различные игровые элементы. Она «вытягивает» файлы и даже преображает их в более удобные форматы.
Правда, освоить программу достаточно сложно, особенно неопытным пользователям, да и поддерживает она не более 80 игр.
Вторая программа выполняет аналогичные функции, но работает только со звуковыми файлами.
Как пользоваться:
Каждая программа для взлома игр, приведенная в списке, считается лучшей. Пользоваться ими или нет, каждый пользователь решает для себя лично. Главное – не переусердствовать, и во всем знать иметь чувство меры.
Надеюсь, моя информация была для вас полезной, оставляйте отзывы, делитесь впечатлениями. Пока!
Программы для взлома онлайн и оффлайн игр
В данной статье я проведу небольшой обзор программ, необходимых для взлома различных онлайн и оффлайн игр (в т.ч. Вконтакте, Одноклассники, Mail.ru и т.д).
Программы для взлома игр
Mozilla Firefox — программа номер один. Да-да, не удивляйтесь тому, что в списке программ известный интернет-браузер. Он выступает в качестве платформы для таких программ как TamperData и Charles. И если вы полны решимости работать с софтом для взлома игр, вам необходимо обзавестись и данным браузером. Он имеет простой интерфейс, приемлемую скорость работы, отличается повышенной степенью безопасности.
Скачать Mozilla FireFox (впрочем, сейчас подойдет обычный хром, опера или даже браузер амиго, лиса, увы теряет свои позиции…. )
Чтоб наблюдать и анализировать свой HTTP-трафик необходима утилита под названием Charles Web Debugging Proxy. Программа позволяет видеть все запросы (requests), ответы (responses) и HTTP заголовки (которые содержат cookies и информацию из кэша). Эти данные программа представляет в виде списка папок с названиями серверов, внутри папок находится вся информация связанная с этими серверами. Кстати, вы сможете использовать бесплатную лицензию для программы.
Для того, чтобы использовать Charles вам нужно установить Mozilla Firefox и плагин для этого браузера, а именно MOZILLA FIREFOX ADD-ON. Ничего настраивать нет нужды, всё уже будет готово для работы после инсталляции.
Мануал для работы Charles вы можете скачать тут.
Сам Charles 3.6.5 скачивайте здесь (Windows 32 bit (msi, 7.4 MB).
Также на вашем компьютере должна быть установлена JAVA, в противном случае ничего не получится.
Скачать Java (32-bit)
Скачать Java (64-bit)
Смотрите также видео, которое иллюстрирует использования Charles по
этой ссылке
Cheat Engine даст вам возможность редактировать всевозможные параметры в различных играх. Таким образом вы получите в свое безраздельное властвование неограниченное количество денег, здоровья, запасов и так далее. Программа сканирует определенные файлы в директории выбранной вами компьютерной игры и производит, непосредственно, процесс взлома. Стоит отметить то, что взлому подвергаются даже те игры, данные которых закодированы или не имеют конкретных числовых значений (например полоска жизни).
ArtMoney — пожалуй, наиболее известная программа для взлома игр. Она, как и полагается программам подобного типа, ориентирована на поиск\замену определенных игровых параметров(деньги, ресурсы, прочее). Для этого она сканирует игровые файлы, отыскивая среди них нужные значения. Программа работает в два этапа — на первом производится поиск нужных значений, на втором — их фильтрация. Результат работы — точные адреса, изменение ячеек которых приводит к желаемому результату.
Данная программа умеет работает с компьютерными играми, данные которых закодированы либо представлены не в виде числовых значений.
TamperData — маленькое дополнение для интернет-браузера Mozilla Firefox, с помощью которого отслеживаются и редактируются http-запросы. Эта утилита поможет в тестировании различных web-приложений.
UoPilot — уникальная программа, которая поможет вам прокачать своего персонажа в игре. Как она работает? Дело в том, что многие повторяющиеся действия в игре, которые необходимо выполнять для прокачки персонажа, как правило, алгоритмичны и поддаются шаблонизации. Потому несложно на эти действия натаскать программу-робота, которая все сделает за вас. Таким образом, утилита упрощает игровой процесс геймера, ведь в идеале он вообще может не участвовать в прокачке персонажа.
Ghost Mouse — программа должна быть в наборе каждого уважающего себя игромана. Ведь с ее помощью становится возможной запись системных событий, которые связаны с мышью (проще говоря, программа записывает движения мышки и нажатия ее клавиш). Таким образом, можно повторять определенные последовательности нажатий и движений мыши в цикле, что, само собой, можно использовать для прокачки персонажа…
Скачать Ghost Mouse v3.0
WPE (Winsock Packet Editor) Pro
WPE — эта утилита даст вам возможность подменять пакеты в онлайн-играх. С ее помощью геймеры ломают такие широко известные игры как World Of Warcraft, Ragnarok, Ultima и т.п.
Скачать WPE v1.0.0
TeamViewer — утилита предоставит вам возможность получения доступа к удаленному компьютеру. (причем IP-адрес удаленного компа знать не обязательно, но на нем тоже должна быть запущена данная программа).
Традиционно для такого вида программ, кроме возможности передавать файлы, устраивать презентации, общаться во внутреннем чате, вы получите доступ к рабочему столу ОС удаленного компьютера и все права на управление им. Чем можно воспользоваться, например, помогая настроить компьютер своему заокеанскому коллеге.
Hex Editor — известный редактор Шестнадцатеричных и Бинарных Файлов, который просто обязан быть у каждого, кто собирается копаться в ресурсах игр или любых других приложений. У программы удобный многооконный интерфейс, она обладает широкими возможностями для поиска\замены и просмотра данных, их отладки.
История взлома одной браузерной игры. Возврат контроля
Предисловие
Изначальная ситуация была следующая. Жила и развивалась одна браузерная игра со сравнительно высоким он-лайном. Проект монетизировался за счёт покупок игроками виртуальных вещей за реальные деньги. В один прекрасный день среди игроков появился взломщик, который найдя несколько уязвимостей в движке игры стал нарушать игровой баланс различными способами. Он увеличивал количество денег, как у себя, так и у других игроков, повышал всем желающим игровой опыт, генерировал редкие игровые предметы. Естественно платежи от пользователей почти сразу сошли на нет. Зачем платить за что-то если это что-то бесплатно раздают? Разработчики пробовали бороться с этим, даже нанимали человека, который за 200$ брался устранить «все уязвимости» в коде, но результата не было. Их терпение окончательно лопнуло когда злоумышленник слил дамп БД + все исходные коды игры и разместил их на одном публичном форуме, с предложением использовать игру кто где хочет совершенно свободно. И если раньше, в процессе борьбы с хакером, игра хоть как-то развивалась, то теперь делать это было просто нельзя — любые доработки или новые модули сразу же могли утечь в сеть.
Первичный осмотр
Игра базировалась на VPS под управлением Debian с администрированием силами хостера. От последнего, кроме самого сервера, давалась ещё панель управления и PhpMyAdmin.
Конфигурация внутреннего ПО очень располагала ко взлому. Настройка PHP позволяла и открывать и подключать внешние файлы (allow_url_fopen/include), хотя для работы игры ни того, ни другого не требовалось. Безопасный режим (safe_mode) был выключен, опция open_basedir не установлена. Функции типа system(), exec(), и других, обеспечивающих выполнение системных команд, запрещены с помощью disable_functions не были. Вывод ошибок был включен, а об их логировании не шло и речи.
Что касается веб-сервера (Apache), то под его управлением крутилось несколько поддоменов имеющих отношение к игре — форум, тестовая площадка и прочее. Работа веб-сервера с PHP велась в режиме FastCGI, но главный козырь в плане безопасности — запуск скриптов с правами их владельцев — был сведён на нет простым фактором — владельцем содержимого всех поддоменов был один и тот же пользователь. На этом моменте стало ясно что уязвимости не обязательно должны быть в движке самой игры, они могут находиться и на периферийных доменах.
В MySQL ситуация была аналогичная. Для каждого из поддоменов имелась своя БД, а работа из скриптов с ними шла через одного и того же пользователя.
Доступ к серверу извне осуществлялся с помощью SSH и FTP. И если в адрес первого ничего плохого сказать не могу, то с FTP ситуация была совершенно иная. Попав на FTP, пользователь сразу получал доступ к содержимому всех поддоменов. Кроме того, здесь же, в корне FTP, лежала папка с бэкапами базы данных. В них было всё вплоть до паролей пользователей. Тут же находились и архивы с логами FTP. Апогеем всего этого, как наверное уже многие догадались, являлось то, что логин и пароль были одни и те же на SSH, FTP и MySQL.
После более тесного ознакомления всплыл ещё один не хороший момент. Движок игры разрабатывался без использования системы контроля версий. Всё правилось «по живому», а если нужно было создать резервную копию файла, её прямо на FTP называли чем-то типа script_name111111111.php, после чего загружали свежий script_name.php. Работа над движком велась уже достаточно долгое время, и таких «откатных» файлов были десятки. Своим присутствием они сильно осложняли поиск веб-шеллов и прочих бэкдоров, которые мог загрузить нападающий. А анализ исходного кода, на предмет наличия в нём уязвимостей, становился просто не возможен. Вообщем, нужно было срочно исправлять ситуацию.
Попытка номер раз
Нужно упомянуть об одной форе, если так можно выразиться, которая работала на нас. К тому времени как разработчики обратились ко мне, развитие игры практически встало, количество игроков упало и взломщику самому наскучило в ней сидеть. Он заходил раз в день, примерно час занимался всякими переписками и уходил. Активно себя вести он начинал только когда начинали действовать разработчики — вводили какие-то дополнения, блокировали его аккаунт и т. д. То есть можно было с уверенностью говорить о том, что пока мы не начнём вносить заметные, для него, изменения в ПО сервера и игры, взломщик сам шевелиться не начнёт.
Исходя из этого нужно было действовать так, чтоб злоумышленник после осознания изменений касающихся защиты, никак на них повлиять уже не смог. Поэтому в первую очередь мы занялись максимальным уменьшением площади его влияния.
Сперва было решено ограничить доступ извне на все жизненно-важные сервисы (панель управления VPS, PMA, SSH, FTP, MySQL) по IP-адресам. Далее в системе были созданы пользователи для каждого поддомена, и всё их содержимое было перемещено в соответствующие домашние директории. Аналогичным образом поступили с базой данных. Теперь злоумышленник не мог имея контроль над одним сайтом, как-то воздействовать на другие.
Чуть не забыл. Права 777 мы сняли со всех директорий, которые их имели. Сайты полностью стали отделены друг от друга.
Затем поправили конфигурацию PHP. Функции запуска команд ОС, а также возможность подключения и чтения файлов по URL стали запрещены. Вывод ошибок отключили, попутно включив их запись в файл (error_log). К сожалению, по причинам связанным с особенностями работы движка, сразу не получилось включить безопасный режим (safe_mode), или хотя бы установить open_basedir. Поэтому далее пришлось работать без их помощи.
Как ни странно, все наши действия ни коим образом не привлекли внимания злоумышленника.
Видимо ему в конец наскучило лазанье по серверу и кроме самой игры он никуда не заходил. Это давало ещё некоторое количество времени. Как раз к этому моменту разработчики удалили все резервные скрипты и можно было приступать к анализу используемых веб-приложений.
Сразу была обнаружена одна очень популярная проблема — к содержимому директорий с библиотеками, конфигурационными файлами и пр. доступ извне был открыт. Конечно, критичной брешью это не является (те же конфигурационные файлы представляли из себя php-скрипты и прямое обращение к ним ничего не давало), но если их содержимое доступно извне, они представляют собой хорошее место для хранения вредоносного кода. Когда в такие папки доступ закрывают, количество мест для поиска «подарков» от злоумышленника резко снижается. В случае с движком игры, возможность обращения извне мы оставили в одну директорию со скриптами и в несколько с JS-файлами, стилями и изображениями. В последних просто запретили выполнение скриптов. Таким образом осталась одна папка где вообще внешним пользователем могло быть вызвано выполнение PHP-кода. В принципе, злоумышленник мог внести опасные изменения в какой-нибудь внутренний скрипт, и попытаться обращаться к своему коду уже из общедоступных скриптов. Но и эту проблему мы решили, правда не сразу (об этом чуть ниже).
Сам исходный код игры оказался просто нашпигован слепыми SQL-инъекциями. За всё время нашего сотрудничества их было обнаружено несколько десятков. Нанятый для их устранения человек, о котором я уже упоминал в начале статьи, банально приписал к каждым попадающим в запрос переменным использование функции mysql_real_escape_string(). Но по каким-то причинам он не учёл того, что в этих переменных разработчиками ожидалось наличие числовых значений, поэтому в SQL-запросах места их включения кавычками обрамлены не были. Следовательно, не смотря на экранирование средствами mysql_real_escape_string() инъекции можно было использовать, главное не включать в опасные запросы спец. символы.
Что интересно, различных вредоносных скриптов ни на одном домене на тот момент обнаружено не было, хотя мы ожидали наличие как минимум одного. Позже удалось выяснить что все свои действия хакер совершал через PMA.
В качестве последнего штриха мы решили подключить к PHP логгер информации обо всех входящих запросах (запись сериализованных GET/POST/SERVER/COOKIE/SESSION-массивов) с помощью опции auto_prepend_file, и спровоцировать атакующего очередным баном. С логгером сразу же возникли проблемы. Хоть и средний онлайн к тому времени был не велик, запросов игроки совершали столько, что логгер съедал место на жёстком диске не по дням, а по часам. Как решение пробовали использовать сжатие записываемых данных gzip`ом. Помогло. С учётом свободного места на винчестере + 1Гб про запас, логгер мог работать примерно 17 часов. В связи с этим было решено писать лог для каждого часа отдельно, а в середине дня сливать все имеющиеся лог-файлы на локальный компьютер, попутно затирая их оригиналы. Так как злоумышленник после бана начал бы действовать максимум через 24 часа (он появлялся в игре каждый день), то нужно было бы выкачивать логи всего 2-3 раза. Так и получилось.
Попытка номер два
В назначенное время мы включили логгер, проверили нормально ли идёт запись данных, сменили все старые пароли и забанили злоумышленника. Настало время ожидания. Приблизительно через 12 часов он дал о себе знать. К нашему удивлению хакер снова снял с себя бан и продолжил играть.
Сразу после этого мы начали обсуждение всех предпринятых мер с целью понять что же мы упустили. И быстро обнаружили один промах. Он был прост и банален — пароли на всех управляющих сервисах сменили, но забыли про админ-панель. Там пароли остались старые.
Затем я решил снова обратить внимание на исходные коды самой игры. Мало ли что туда могло быть загружено злоумышленником после недавней провокации. У меня как раз был последний рабочий вариант на винчестере. Я принялся скачивать движок с FTP и сравнивать копии локально. Ни один файл не был изменён, но появился один новый скрипт (анализ записей логгера, который был проведён позднее, показал к нему обращения). Это был веб-шелл. По дате его создания я сразу понял в чём дело. Проверяя исходные коды я проходил папку за папкой, сдавая разработчикам найденные уязвимости и выискивая подозрительные скрипты. Когда была изучена примерно половина всего объёма, злоумышленник залил веб-шелл в директорию, содержимое которой я проверил в самом начале. Соответственно никто этого сразу не обнаружил. А нападающий смог воспользоваться им для снятия бана. Тут уже стало ясно что нужно как-то решать вопрос с контролем целостности файловой структуры движка. Так как систему контроля версий использовать ещё не начали (её внедрили позднее), то пришлось выкручиваться bash-скриптом, который запускался кроном раз в 10 минут, и проверял наличие новых/удалённых файлов, а также сверял контрольные суммы скриптов с суммами-оригиналами. Его прототип я описал в одной из своих статей — anton-kuzmin.blogspot.com/2011/01/blog-post.html.
Теперь, когда шелл был удалён, пароли снова изменены (на этот раз все), а bash-скрипт запущен, настал момент очередного бана.
Заключение
Принятые меры подействовали. Нападающий зарегистрировал в игре нового персонажа, но даже по прошествии суток (и до текущего времени) его аккаунт оставался таким же простым как и у остальных игроков. В файловой структуре сервера изменений больше не происходило, игровой баланс начал потихоньку восстанавливаться, а разработчики стали массово применять обновления которые готовили ранее, но не хотели загружать на сервер пока проблема с хакером не будет решена.
Кстати, взломщик сразу не успокоился. Он выложил в этот же день на форуме, где обычно выкладывал внутренности игры, очередной дамп, который был достаточно старым, под видом самого свежего. После этого он зачем-то связался с одним из разработчиков и стал убеждать его в том, что доступ к серверу до сих пор не потерян. Но на просьбы подтверждения этого (например, дать пароль одного из администраторов) он либо вообще не отвечал, либо давал какие-то не актуальные данные.
И два отдельных правила, касающихся контроля пользователей в онлайн-играх, к которым я пришёл в процессе работы над этим случаем:
1) Автоматизируйте подсчёт количества игровых денег (полученных, потраченных) и опыта, ведите их ежедневную статистику. Раз в сутки собирайте эти данные и сравнивайте с прошлым днём. Так вы уже через неделю определите средний процент общего их увеличения за 24 часа при нормальном течении игры. Как только появится нечестный игрок, сумевший, к примеру, начислить себе огромное количество игровой валюты, вы сразу об этом узнаете.
2) Логируйте все операции с игровыми вещами. Вещь создалась при убийстве монстра, вещь передали, вещь продали — записывайте всё. Аналогично предыдущему пункту можно с определённым временным интервалом выбирать из базы вещи, которые до появления у игрока никакой истории не имели. То есть появились практически из ниоткуда. Кстати, этот же механизм поможет возвращать владельцам украденные вещи, а нечестных игроков быстро отлавливать.
Надеюсь что в процессе чтения этой статьи вы узнали что-то новое и она оказалась вам полезна. Буду рад ответить на любые ваши вопросы.