И снова Diamond Dash

Хорошее время для поста ;-)

Эх… опередил меня. Мне буквально пару часов назад пришла подобная идея. Хотел попробовать через снифер Http Analyzer.

По поводу сниффера — могу посоветовать этот (src). Пользуюсь им уже как пять лет и все это время он ниразу меня не подводил.

Не знаю как в Google+, но, например, в Фейсбуке и ВКонтакте есть auth_key, который подсчитывается по схеме (user_id + app_id + secret_key) на сервере платформы и сверяется на сервере приложения. Очевидно, подменить user_id уже не получится. А с рекордами, к сожалению, ничего не поделаешь (кроме вышеизложенных способов).

Думаю, что разработчиков можно обвинить в халатности хотя бы за это :)

Signature mismatch! Got: V5rwMEQJS_2diQ8sdZMXBs= computed: gcLO6NdBJtwBtOwrWIpwL9LliuA=

Кстати, для таких целей использую этот сниффер. Работает как прокси сервер. Более того, у него есть возможность ставить брейкпоинты на определенные домены. (Например, Ваш браузер пытается сделать запрос куда-либо, но сниффер ставит его в состояние паузы и дает возможность подкорректировать.)

Да просто нарисуйте на скриншоте сколько надо ноликов в фотошопе :-}

Fiddler умеет и https, зря вы так :)

Эх, я помню ломал одну игру таким же способом но там по достижении какогото колличества очков вроде каждую 1000 она отправляла данные на сервер, а это затруднило мое положение.

Если бы сервер при начале партии отсылал seed для потока псевдослучайных чисел, а по окончании партии клиент возвращал бы последовательность сделанных ходов для проверки на сервере, то можно было бы достичь только теоретического максимума для данной партии, поскольку выше головы здесь не прыгнешь ну совсем никак.

всетаки ботоводство более увлекательно, чем ващ способ. но ваш конечно результативнее :)

В своё время писали флеш игрушки, за лучшие результаты в которых ещё и призы давали. Все запросы шифровались, но правда ключом в игрушке. Этого было достаточно от простых сниферов. Если же дампить и анализировать память — там конечно было штук 5-6 левых действий которые считали хитро подпись. Потом игра была уровневой (аналог bejeweled) — каждый переход мы отправляли запрос на сервер и потом робот при финальном считал — а в дельте ли кол-во очков нужное для перехода (как бы нормы для больших уровней сложно посчитать). Ну и самый главный прикол — мы всё по https посылали.

Не понимаю, почему в списке возможных методов защиты нет варианта с записью 'демки' на стороне клиента, с последующей прокруткой её сервером с подсчетом очков. Таким образом, сервер сверяет с клиентом стартовое поле и в конце получает дамп действий пользователя, и на основе этих данных считает очки. Понятно, что решение громоздкое :) и избыточное для своих целей, но сам принцип можно было использовать? Нагрузка вроде на сервер должна быть небольшой.Не понимаю, почему в списке возможных методов защиты нет варианта с записью 'демки' на стороне клиента, с последующей прокруткой её сервером с подсчетом очков. Таким образом, сервер сверяет с клиентом стартовое поле и в конце получает дамп действий пользователя, и на основе этих данных считает очки. Понятно, что решение громоздкое :) и избыточное для своих целей, но сам принцип можно было использовать? Нагрузка вроде на сервер должна быть небольшой.

Предлагаю взломать уже к чертям их сервер чтобы снять это дурацкое ограничение в 16 миллионов.

Помню несколько лет назад была подобная история, в нашу игру, (оффлайновая, но использует глобальную таблицу рекордов на сервере) повадился такой же читер постить то маты, то своим ником забьёт всю таблицу и нереально большими рекордами. Приходилось стирать, и править скрипт на сервере: ограничивал максимальное кол-во очков — он подбирал цифру которая максимальная, обрубал по ip — он начинал постить с другого, в общем очень настырный парень. По регистрационному имени обрубить не получалось — он купил игру через портал, где на всех игроков используется 1 регистрационный ключ. В конце концов сделал список его любимых матов и его ника, и тупо вставил в скрипт что если такое содержится — рекорд не добавлять, и ip в чёрный список. Ну и парень этот угомонился вроде, может надоело.

С тех пор мы вставляем в проект libmcript, и им криптуем все запросы, а на сервере раскриптовываем. Уделывает запрос так, что пока никто не умудрился сломать.

Взломайте Monster World ;)

Есть еще один вид поломки: это когда будут сыпать квадратики одного ну или для более приятного лицезрения двух цветов с сохранение бонусов и призов. Охота ведь посмотреть чего в игре дальше будет, может там монстры полезут…

Если уж речь пошла о снифферах, порекомендуйте какой-нибудь для Ubuntu.

А по теме: очень многие приложения взламываются при помощи снифферов, и защищаться от этого очень сложно. Обфускация и шифрование трафика то не всегда помогают. Если кто-то один взломает, рейтинг накручивать будут все.