吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 11726|回复: 10
收起左侧

[游戏安全] 【原创】游戏漏洞挖掘之信息泄漏风险

  [复制链接]
Gslab 发表于 2018-1-12 16:57
本帖最后由 Gslab 于 2018-1-12 16:58 编辑

信息泄漏风险定义:现在的网络游戏自身是一个大型的分布式系统客户端与服务器集群中有着大量的信息交换,而交换的数据包中极有可能包含了黑客们感兴趣的信息游戏泄漏的本应该隐藏信息,可以成为信息泄漏的风险
信息泄漏风险危害及分类玩家可能疑问,游戏能泄漏什么样的信息呢?这样子危害有多大呢?我们先来看几则案列:当今FPS游戏中,存在的大量的透视,自瞄的外挂,其实这里面的主要原因便是游戏将其他玩家的坐标直接或间接的协议全局下发了
上述的透视效果,是因为游戏在同步声音的时候,坐标做了全局下发,如下图

同样射击类游戏,游戏模式下,需要确认GPS的位置

实际上,你利用漏洞,就可以迅速识别GPS所在位置,迅速获得胜利

游戏在游戏中提供休闲内玩法,玩家可在游戏中进行竞猜内玩法,竞猜答案在游戏开始前其实就已经下发,利用漏洞可以实现游戏的100%竞猜成功

游戏为了保证玩家个人信息的安全,一般都不会游戏中泄漏玩家的个人信息但是稍微利用下漏洞可以获取玩家的QQ号

通过上述案例,可以将信息泄漏的风险,简单的进行归类:

信息泄漏类风险基本分为游戏内信息泄漏玩家信息泄漏。游戏信息的泄漏,主要影响到游戏玩法,破坏游戏平衡,影响游戏口碑。而玩家信息的泄漏,则可能进一步引发大量广告推送,骚扰信息,木马,钓鱼等危害,严重影响游戏口碑。
信息泄漏风险产生原因信息泄漏的原因服务器与客户端在协议交互过程中,了同步状态或是进行判断,将本应该隐藏的信息明文下发了客户端,导致了玩家可以感知和利用。
信息泄漏风险验证方法:因为信息会同步到客户端,故验证方法的核心便利用协议工具,去分析每一条协议的具体字段内容。具体的可参见一则案例:游戏家园玩法中,提供了上门拜访的玩法,可选取任意游戏ID的玩家,进行拜访他的家园。通过协议分析工具,可以拦截上行协议[66 00 02 00 00 00 00 00 00 00 00 00 00 00 00 00 10 B5 A1 6F 00 00 00 00 00 00 ]二进制数据被工具切割[66 00] 主协议号[02 00] 子协议号[00 00 00 00] 未知[00 00 00 00] 未知[00 00 00 00] 未知[10 B5 A1 6F 00 00 00 00 ]对方QQ号0x6FA1B510转换十进制为1872868624[00 00] 未知通过解析协议,即可获取对方玩家的QQ号




*转载请注明来自游戏安全实验室(GSLAB.QQ.COM)

免费评分

参与人数 7吾爱币 +6 热心值 +7 收起 理由
柴斯 + 1 谢谢@Thanks!
lstar + 1 + 1 我很赞同!
q1256427 + 1 + 1 我很赞同!
amisiyuoy + 1 + 1 我也该起步了。
cryfly + 1 + 1 居然还有这种操作~
saya010 + 1 + 1 太6了!!求细节
chuang2015 + 1 + 1 我很赞同!

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

MoB 发表于 2018-1-12 17:34
原理大家都懂了,所以为什么现在还是那么多外挂
zhaotianrun 发表于 2018-1-12 18:00
就像微信的红包照片一样,都是服务端发过来数据,本地后期处理耳机
xzjwxz 发表于 2018-1-12 18:19
netCheney 发表于 2018-1-12 20:18
等到更新了,谢谢楼主
1727782690 发表于 2018-1-12 20:46
厉害吓得我不敢玩游戏了
我是壮汉^ω^ 发表于 2018-1-14 00:10
那么为什么穿越火线的外挂封不完呢?
辅助用了一段时间出现非法模块,说明官方堵住了这个漏洞,
紧接着外挂制作者更新了
又可以接着用,又非法,再更新,所以这个漏洞永远是存在的对吗
q1256427 发表于 2018-1-14 09:45
666666666666666666
lstar 发表于 2018-1-14 13:03
非常厉害,学习了!
dengpan 发表于 2018-7-21 14:42
楼主无敌。
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:本版块禁止灌水或回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-3-29 01:31

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表