Cheater in der Onlinehighscore.
Übersicht

![]() |
SmilyBetreff: Cheater in der Onlinehighscore. |
![]() Antworten mit Zitat ![]() |
---|---|---|
Hallo,
ich habe Folgendes Problem: Ich habe ein kleines Spiel mit Onlinehighscore gemacht, wo die Punkte per POST daten einfach an ein PHP-script Übermittelt werden. Allerdings habe ich seit letzter Zeit einträge in meiner Highscore, die man unmöglich mit dem Spiel erreicht haben kann. Nach dem es das erste mal passiert war, hatte ich ein Sicherheitsupdate gemacht, womit noch Der Timer mod 255 und dieser wert nochmal in Verschlüsselter Form übetragen werden. Allerdings gabs einen Tag später schon den Nächsten eintrag, in dem der Verschlüsselte wert auch dem Richtigen entsprach. Woher wusste der Cheater, welche Daten er unter welchem Namen übertragen muss? Und wie die Beiden vergleichsdaten untereinander verschlüsselt wurden (nagut, die methode ist nicht gerade die beste. Allerdings scheints beim ersten versuch funktioniert zu haben, da auch fehlgeschlagene Versuche geloggt werden würden) Die einzige Idee, die ich habe, ist dass der Cheater mein Programm Rekompiliert haben muss. Ist es wirklich das, und wenn ja, was kann ich dagegen machen? Der Treibt mich sonst noch in den Wahnsinn ![]() |
||
Lesestoff:
gegen Softwarepatente | Netzzensur | brain.exe | Unabhängigkeitserklärung des Internets "Wir müssen die Rechte der Andersdenkenden selbst dann beachten, wenn sie Idioten oder schädlich sind. Wir müssen aufpassen. Wachsamkeit ist der Preis der Freiheit --- Keine Zensur!" stummi.org |
Schnuff |
![]() Antworten mit Zitat ![]() |
|
---|---|---|
mach duch noch ne verschlüsselung, der Punkte(je sicherer desto besser)
und schicke sie mit ab ![]() (über das script entschlüsselst du es und prüfst, ob beides gleich ist!) am besten verschlüsselst du irgentwie, mit dem Namen! |
||
Programmers dont die. They gosub without return... |
![]() |
5k41 |
![]() Antworten mit Zitat ![]() |
---|---|---|
In dem PhP skript steht aber nicht die verschlüsselung oder? sonst könnt ich mir nur noch vorstellen das er per der PhP datei deine Webspace datein rausbekommen hat, dort die Entschlüsselungsdatei geöffnet hat und der Verschlüsselungsprogramm dazu geschrieben hat (oder sich einfach direkt darüber eingetragen hat) | ||
Projekte:
For a better World - Gesellschaftsspiel ( 100%) User posted image |
furbolg |
![]() Antworten mit Zitat ![]() |
|
---|---|---|
5k41 hat Folgendes geschrieben: In dem PhP skript steht aber nicht die verschlüsselung oder? sonst könnt ich mir nur noch vorstellen das er per der PhP datei deine Webspace datein rausbekommen hat, dort die Entschlüsselungsdatei geöffnet hat und der Verschlüsselungsprogramm dazu geschrieben hat (oder sich einfach direkt darüber eingetragen hat)
Viel Ahnung von PHP haste nicht oder ? Wenn der Cheater nicht das Passwort für FTP weiss kommt er nicht an das PHP Script ran, da es immer ausgeführt wird und er nur eine generierte HTML Seite bekommt. Benutz als User Agent den Namen deines Spiel und überprüfe das im PHP Script, wenn der Cheater jetzt nur IE / Mozilla nutzt wird die eingabe verweigert. Nun muss er sich selbst per Winsock sowas basteln. |
||
![]() |
Smily |
![]() Antworten mit Zitat ![]() |
---|---|---|
Nein.
In der PHP datei steht nichts von der Entschlüsselung drinne. Die daten werden einfach in die Highscore eingetragen. Ich überprüfe die Daten von Hand, wenn ich zweifel bekomme. Ich hab mir das mal durchgerechnet. Bei den Punkten, die eingetragen wurden, müsste er min. 3t0 Sd gespielt haben. Und das ist ein wenig viel ![]() Also gehe ich davon aus, dass das Spiel Rekombiliert wurde. Da alle ansätze beim ersten mal gefunzt hatten. vlt. hat der das spiel ja so eingestellt, dass er ein "paar" mehr punkte für einen abschuss bekommt. Wie kann ich meine Datei gegen sowas schützen? €dit: furbolg hat schneller geantwortet als ich. Wie kann ich den User Agent per BB übertragen? |
||
Lesestoff:
gegen Softwarepatente | Netzzensur | brain.exe | Unabhängigkeitserklärung des Internets "Wir müssen die Rechte der Andersdenkenden selbst dann beachten, wenn sie Idioten oder schädlich sind. Wir müssen aufpassen. Wachsamkeit ist der Preis der Freiheit --- Keine Zensur!" stummi.org |
![]() |
5k41 |
![]() Antworten mit Zitat ![]() |
---|---|---|
@Furbolg:
stimmt aber soviel wie du mir grad "erklärt" hast wusst ich auch scon vorher ich meinte ja das er vielleicht durch den PhP skript die Userdaten des FTP servers herraus bekommen hat, und sich dann dort eingetragen/ein gegen programm geschrieben hat! Mit Webspace dateien meinte ich Webspace Account daten oder wie man das auch nennen will... der ausdruck war n bissl falsch gewählt ich weiss ~Edit~ Um welches Spiel geht es denn? Würde mich gerne auch mal daran versuchen und falls ichs hinbekommen sollte dich dann aufklären ![]() |
||
Projekte:
For a better World - Gesellschaftsspiel ( 100%) User posted image |
![]() |
Smily |
![]() Antworten mit Zitat ![]() |
---|---|---|
http://michael.hostgen24.de/ATHO/KillBill.php | ||
Lesestoff:
gegen Softwarepatente | Netzzensur | brain.exe | Unabhängigkeitserklärung des Internets "Wir müssen die Rechte der Andersdenkenden selbst dann beachten, wenn sie Idioten oder schädlich sind. Wir müssen aufpassen. Wachsamkeit ist der Preis der Freiheit --- Keine Zensur!" stummi.org |
![]() |
Hubsi |
![]() Antworten mit Zitat ![]() |
---|---|---|
Er hat die Punktezahl wahrscheinlich im Ram manipuliert ![]() ![]() |
||
Den ganzen Doag im Bett umanandflagga und iaz daherkema und meine Hendl`n fressn... |
chieftequila |
![]() Antworten mit Zitat ![]() |
|
---|---|---|
öhm ich hätte das problehm volgendermassen gelöst und zwar so
du speicherst deinen Score immer verschlüsselt im speicher ab und zwar so. irgend ein prefix + MD5(Score) das prefix ist irgend ein von dir festgelegter code der verhindert das das entschlüssel des Scores nicht zu einfach ist sorge dafür das das prefix um die 5 stellen gross ist und NICHT IN EINER VARIABEL STEHT da es sonst auch im speicher abgelegt wird und ausgelesen werden kann. wen du diesen code jetzt über mittelst und dein PHP script volgendes tut Code: [AUSKLAPPEN] <?php Code = $_GET['PostVariabel']; Prefix = "Prefix"; a=0; for(b=0;b=1;a++){ if(Code=="Prefix".md5(a)){ HIER KOMMT DAS SQL STATEMENT ZUM UPLOAD b=1 }//if if(a==IRGEND EIN WERT DER NICHT MEHR MÖGLICH IST){ b=1 }//endif }//for ?> soltest du solche hacks in zukunft verhindern könen Nachteile Das PHP Script braucht ein bischen um den score zu entschlüsseln wen der score zu hoch ist kann es auch passieren das der server die Forschleife beendet. auserdem darf der score und das prfix nicht länger alls 13 stellen sein Vorteile Ziemlich sicher da das knacken von MD5 Hashes recht schwer ist und man mindestens den 5 stelligen Prefix knacken muss (score ist ja bekannt) und das dauert recht lange (ich habe 3 tage gebraucht um einen 4 stelligen zu knacken und das mit einem cluster system) ICH HABE JEDOCH KEINE AHNUNG OB ES SCHON EINE B3D LIBARY FÜR MD5 GIEBT könnte mir gut vorstellen das es die nicht giebt das das md5 verschlüsseln recht heftig und kompliziert ist ![]() |
||
![]() |
Hubsi |
![]() Antworten mit Zitat ![]() |
---|---|---|
Die Sache hat neben der Rechenzeit des php-Scripts noch den Haken das er mit dem md5-Hash nicht rechnen kann ![]() ![]() |
||
Den ganzen Doag im Bett umanandflagga und iaz daherkema und meine Hendl`n fressn... |
chieftequila |
![]() Antworten mit Zitat ![]() |
|
---|---|---|
hey hab noch was für deine seite
was hatt 3 scharmhare und ist 20 meter lang ????' die erste Reie eines Tokiohotel konzert |
||
![]() |
Chester |
![]() Antworten mit Zitat ![]() |
---|---|---|
Also ich glaube Decompilieren ist ziemlich Käse, ein gescheiter Sniffer tut Wunder. ![]() Mit dem Sniffer kommt man zu folgendem Ergebnis: Zitat: POST http://michael.hostgen24.de/ATHO/KillBill_send.php HTTP/1.1 Host: Host Referer: Referer Content-type: application/x-www-form-urlencoded Content-length: 58 Connection: close punkte=2219&name=ChEsTeR&ProgVersion=1.1&timer=46&Verg=209 Somit kann man ganz einfach mit Code: [AUSKLAPPEN] tcp=Opentcpstream("http://michael.hostgen24.de",80) WriteLine tcp,"POST http://michael.hostgen24.de/ATHO/KillBill_send.php HTTP/1.1" WriteLine tcp, "Host: Host" WriteLine tcp, "Referer: Referer" WriteLine tcp, "Content-type: application/x-www-form-urlencoded" WriteLine tcp, "Content-length: 58" WriteLine tcp, "Connection: close" WriteLine tcp, "" WriteLine tcp, "punkte=999999999&name=OWNED&ProgVersion=1.1&timer=47&Verg=210" Für timer und Verg einfach BruteForcen und schon hat man deine Highscore geknackt. Ich sehe darin keine wirkliche Verschlüsselung^^ MfG ChEsTeR |
||
dark19Gast |
![]() Antworten mit Zitat |
|
---|---|---|
ChEsTeR hat Folgendes geschrieben: Also ich glaube Decompilieren ist ziemlich Käse, ein gescheiter Sniffer tut Wunder.
![]() Mit dem Sniffer kommt man zu folgendem Ergebnis: Zitat: POST http://michael.hostgen24.de/ATHO/KillBill_send.php HTTP/1.1 Host: Host Referer: Referer Content-type: application/x-www-form-urlencoded Content-length: 58 Connection: close punkte=2219&name=ChEsTeR&ProgVersion=1.1&timer=46&Verg=209 Somit kann man ganz einfach mit Code: [AUSKLAPPEN] tcp=Opentcpstream("http://michael.hostgen24.de",80) WriteLine tcp,"POST http://michael.hostgen24.de/ATHO/KillBill_send.php HTTP/1.1" WriteLine tcp, "Host: Host" WriteLine tcp, "Referer: Referer" WriteLine tcp, "Content-type: application/x-www-form-urlencoded" WriteLine tcp, "Content-length: 58" WriteLine tcp, "Connection: close" WriteLine tcp, "" WriteLine tcp, "punkte=999999999&name=OWNED&ProgVersion=1.1&timer=47&Verg=210" Für timer und Verg einfach BruteForcen und schon hat man deine Highscore geknackt. Ich sehe darin keine wirkliche Verschlüsselung^^ MfG ChEsTeR Zu umständlich einfach mit nem memory editor dran gehen und punkte bischen hochmachen und zu ende spielen |
||
naibaf7 |
![]() Antworten mit Zitat ![]() |
|
---|---|---|
Ich glaube das die Punkte mit nem Editor wie ArtMoney oder MemHack manipuliert wurden. Hatte auch schon mal probleme mit sowas. In diesem fall würde ich nicht den Sendevorgang sondern die Punktezählung verschlüsseln. Eventuell reicht sogar bei der Punktezählung sowas wie das die Punktezahl die angezeigt wird nicht die gleiche ist wie die gezählte z.B. Print Punkte * 3 oder ![]() Sorry falls ich irgendwas falsch verstanden haben sollte ![]() EDIT: Hab mir das Game auch mal kurz angeschaut. Wirklich gut ![]() ![]() |
||
My Pc:
MSI 790FX-GD70, Phenom X4 955BE, 2x2GB DDR3-1600, 8800GTS-512, WD 640GB + Samsung 160GB, Scythe Kaze Master |
ke^kx |
![]() Antworten mit Zitat ![]() |
|
---|---|---|
Lol, das ist so gemein... Warum versaut ihr hier den Highscore der Leute?
Jiriki |
||
http://i3u8.blogspot.com
Asus Striker II Intel Core2Quad Q9300 @ 2,5 GHz (aber nur zwei Kerne aktiv aufgrund der Instabilität -.-) Geforce 9800 GTX 2GB RAM |
naibaf7 |
![]() Antworten mit Zitat ![]() |
|
---|---|---|
![]() Is doch logo das man ein bisschen fair sein will zu den Leuten die nicht Cheaten oder ![]() |
||
My Pc:
MSI 790FX-GD70, Phenom X4 955BE, 2x2GB DDR3-1600, 8800GTS-512, WD 640GB + Samsung 160GB, Scythe Kaze Master |
dark19Gast |
![]() Antworten mit Zitat |
|
---|---|---|
Jiriki hat Folgendes geschrieben: Lol, das ist so gemein... Warum versaut ihr hier den Highscore der Leute?
Jiriki Das ist Sicherheitshacken ![]() |
||
ke^kx |
![]() Antworten mit Zitat ![]() |
|
---|---|---|
Jo... Jetzt warten wir nurnoch darauf, dass Smily0412 eine Verbesserung reinbringt ![]() Jiriki |
||
http://i3u8.blogspot.com
Asus Striker II Intel Core2Quad Q9300 @ 2,5 GHz (aber nur zwei Kerne aktiv aufgrund der Instabilität -.-) Geforce 9800 GTX 2GB RAM |
dark19Gast |
![]() Antworten mit Zitat |
|
---|---|---|
Ich habe eine Idee wie du die punkte sicherer machst
1:du merkst die die punkte am anfang der schleife 2:wenn ein Sänger getroffen wurde die variable sicherheit auf 1 3: am ende der schleife über prüfen ob die punkte sich erhöt haben und wenn sicher heit 1 ist wird sicherheit wieder auf 0 gesetzt und wenn nicht dann ist game over ![]() ______ ps:Rechtschreibfehler könnt ihr bei ebay verkaufen |
||
naibaf7 |
![]() Antworten mit Zitat ![]() |
|
---|---|---|
@dark19
Hehe ![]() ![]() |
||
My Pc:
MSI 790FX-GD70, Phenom X4 955BE, 2x2GB DDR3-1600, 8800GTS-512, WD 640GB + Samsung 160GB, Scythe Kaze Master |
Übersicht


Powered by phpBB © 2001 - 2006, phpBB Group