作者gpc (gpc)
看板ToS
标题Re: [问题] 神魔是个可以被盗的游戏吗
时间Thu Jan 16 01:11:46 2014
神魔的安全性算是近期来最烂的,
正确来说毫无安全性
就你你绑了fb,twitter,...任何不知道你绑定的帐号密码,一样可以轻松的使用你的帐号,
然後做一些有趣的事情,
因为神魔唯一的认证是一组隐藏的密码,
这组隐藏的密码不会因为你绑定FB或这改FB密码就跟着变.
一旦任何人拿到这组隐藏密码,就可以当你帐号,不管你怎麽改~
所以强烈建议不要公开环境WIFI里面玩神魔,或者谨慎使用ROOT或JB的软体
※ 引述《alice50734 (Alice)》之铭言：
: 我是绑facebook玩的
: 也没有其他人知道我的facebook密码呀～
: 但是刚才想打水灵魂赐福
: 却发现有人把我的轮回和水灵魂赐福都打完了！><
: 超难过的：（
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 36.227.168.145
1F：推 lovecatbaby:纳自己可以知道这组密码吗= =？ 01/16 01:14
2F：推 dnlegend729:第一次看到这个... 01/16 01:15
3F：推 hank61204:照这样推论应该懂程式的人就能.. 01/16 01:16
4F：→ gpc:隐藏密码不能改 别人拿掉就会变成你 01/16 01:17
5F：推 dnlegend729:比较想知道原PO讯息的来源 不然会被当作...恩 01/16 01:20
6F：→ gpc:观察他的存档就知道了 01/16 01:22
7F：→ gpc:想要知道更细节我可以说明 你懂coding的话我说明你才听的懂喔 01/16 01:23
8F：推 dnlegend729:那算了ˊ_>ˋ 我相信你 01/16 01:24
9F：→ gpc:不然之前板上有个人首抽几万个 他是怎麽管理帐号的:P 01/16 01:24
10F：→ a8250222:的确是如此 网路上文章一堆 都说小心wifi连线 神魔的连线 01/16 01:24
11F：→ a8250222:是没有加密的@@ 01/16 01:24
12F：推 charlie0228:是gpc大 01/16 01:25
13F：推 wwwsamyoui12:跟我想得差不多 真不愧是gpc大 01/16 01:25
14F：→ gpc:到现在4.51板 还是走HTTP阿 明文传输 超厉害 都不知道MH再想什 01/16 01:26
15F：推 ian90911:之前就有人转贴过文章说了 01/16 01:27
16F：推 rehtie:推 公开WIFI本身也没有加密传输 根本就超容易撷取到 01/16 01:27
17F：→ a8250222:或许能出个踢出所有装置 或许能改善一些被重复登入的帐号 01/16 01:28
18F：推 x850519:MH只有关卡有简单加密而已其他，我昨天就发一篇了，唉 01/16 01:29
19F：推 ian90911:#1IilDOIo 文内的部落格请详阅 01/16 01:29
20F：→ rehtie:那没有用 只要改不了那组隐藏密码 谁手里有密码谁就能登入 01/16 01:29
21F：推 awu0204:gpc大说的，看来真的要小心 01/16 01:30
22F：→ awu0204:点了 01/16 01:30
23F：→ trywish:与其说隐藏密码，到不如说是游戏自己设的密码，毕竟要向FB 01/16 01:31
24F：推 x850519:我只能说那组隐藏密码不用本科系都可以撷出来，够简单吧 01/16 01:31
25F：→ trywish:讨认证权限有点麻烦，简单的话就是FB登入+自己创一组密码 01/16 01:31
26F：推 a8250222:真的..就不要给别人知道帐号跟自求多福了XD 01/16 01:31
27F：→ x850519:不过绑twitter的不用担心，FB才需注意 01/16 01:32
28F：→ trywish:然後作为神魔的认证密码，那当然你FB怎改都无效 01/16 01:32
29F：→ gpc:twitter也一样喔 神魔认证的方法是一样的:P 01/16 01:32
30F：→ x850519:不那组隐藏CODE是要由FB漏洞形成，推特大可放心 01/16 01:33
31F：→ a8250222:好像是因为http 所以才衍生出一堆东西?? 01/16 01:33
32F：→ x850519:推特不前破的不是非常多人 01/16 01:33
33F：推 raymond2743:绑甚麽都一样的 你在公开的wifi玩 厉害一点的都可以盗 01/16 01:34
34F：→ trywish:基本上都一样，除非游戏商和社群帐号有关，不然普通拿不到 01/16 01:34
35F：→ trywish:社群帐号的游戏商，密码当然得自己创。那如果有关联的话， 01/16 01:34
36F：→ gpc:我都可以登进别人绑TWITTER的帐号的说 我根本不知道他绑什 01/16 01:34
37F：→ trywish:那变成要小心社群把你的帐密外泄给了游戏商，当然会加密就 01/16 01:35
38F：→ trywish:是了。 01/16 01:35
39F：推 x850519:把神魔档案完整看过就会知推特不用太担心 01/16 01:35
40F：→ x850519:但还是解的出来 01/16 01:36
41F：推 suin7913:感觉是被人用封包盗帐号了 最近好像常看到 某论坛也有在 01/16 01:36
42F：→ suin7913:讨论 01/16 01:36
43F：→ gpc:你知道现在那些专业到帐号的都不是用APP了吗 01/16 01:37
44F：推 senastey:你们说的我半句都没看懂 01/16 01:37
45F：推 x850519:那些东西我都有只是碍於版规不能细讲而已，某float 01/16 01:38
46F：推 bettybuy:那用需帐密登入的WIFI 危险性也很大吗?? 01/16 01:39
47F：→ bettybuy:例如学校的WIFI 01/16 01:39
48F：推 Waitaha:fb access token? 01/16 01:40
49F：推 a8250222:那就不会吧 楼下补充 01/16 01:40
50F：→ gpc:登入跟本不需要FB_ACCESS_TOKEN 01/16 01:40
51F：推 x850519:连我和那几个小鲁蛇都搞的出来了，MH真的要检讨一下 01/16 01:42
52F：推 sft005:可是我不太懂盗这个几乎是单机的游戏干嘛... 01/16 01:45
53F：→ sft005:没有利润利益支持 规模不会影响到什麽玩家 01/16 01:46
54F：→ sft005:更因为没有加密 破了也没成就感 愉快犯的机率也低 01/16 01:46
55F：→ trywish:盗版是其次，光登入都可能登错帐号，就知道问题了 01/16 01:47
56F：→ dnlegend729:你怎麽想不到会有人想干走别人的帐号全部卖商店也爽 01/16 01:47
57F：推 Rindou:屁孩删卡都可以上新闻了 被盗有什麽好意外 01/16 01:49
58F：→ sft005:我就说了 屁还删卡是能删多少次还不腻? 影响规模的问题 01/16 01:50
59F：→ sft005:这不是什麽会影响很大众的东西 MH当然把优先顺序放在後面 01/16 01:51
60F：推 jackydie1007:想听解说 01/16 01:52
61F：→ a8250222:很大吧 光是抽完丢到平台 还有 是你的被砍你会? 01/16 01:52
62F：→ sft005:当然这公司这处理很烂 但这种利益极大化做的就台湾模式XD 01/16 01:52
63F：→ sft005:考量公司处理问题的时候 怎麽会从一个玩家的角度出发... 01/16 01:53
64F：→ sft005:我只是说 这问题可以很严重 但是规模只会很小 他们不会理 01/16 01:54
65F：推 Hambowbow:说中文好吗 阿鬼 01/16 01:56
66F：推 sft005:问题深度很深 但是广度很窄 这样看得懂吗? 01/16 01:58
67F：→ rehtie:公会系统出来 搞不好反而成了盗帐号的诱因(笑) 01/16 02:00
68F：推 iamlazy:只要卡片 金钱 魔法石不能交易，恶意盗帐号应该还好 反之. 01/16 02:01
69F：→ iamlazy:要是以後MH脑袋被雷打到开放交易就.................. 01/16 02:02
70F：推 caca5566:盗帐号还好? 假设你拿到一个不认识的人的帐号 01/16 02:06
71F：→ caca5566:里面一堆石头 我想大部分的人还是自己先抽掉吧 01/16 02:06
72F：→ caca5566:反正不是自己的石头 抽得好抽得差都没差 01/16 02:06
73F：→ caca5566:同样的 自己不敢卖卡片 拿别人的卖当然不痛不痒的 01/16 02:07
74F：推 soraka:神魔就走http不肯走https = = 超级烂的 01/16 02:12
75F：推 soraka:原PO说的那组密码 是指他的hash key? 01/16 02:16
76F：推 x850519:楼上快中了 01/16 02:17
77F：推 hongcheng:会长推推 01/16 02:18
78F：推 soraka:所以神魔自己有先对自己送出的封包作加密吗? 如果没有的话 01/16 02:20
79F：→ soraka:是不是代表只要被窃听封包 就可以对你的帐号进行任何动作? 01/16 02:20
80F：推 lovecatbaby:所以我只要用公开wifi就有可能被盗？ 01/16 02:24
81F：→ soraka:有那个危险性 就像是你钱直接放在桌上用很重的东西压住 01/16 02:25
82F：→ soraka:只要力气(技术)足够的人 就有办法干走他 01/16 02:25
83F：推 lovecatbaby:那被别人登是不是会显示叫我重新登入之类…？ 01/16 02:26
84F：→ soraka:用干走好像不太对 应该说是操控 你自己access的权限不会变 01/16 02:26
85F：→ soraka:只是别人有办法用你的帐号作一些事情 详细可以做到什麽事 01/16 02:26
86F：→ soraka:我就不知道了 01/16 02:27
87F：→ soraka:重新登入的判断不知道是建立在什麽东西上面 不确定会不会显 01/16 02:28
88F：→ soraka:示这个 01/16 02:28
89F：推 YU0121:我猜不走https 可能是因为这样跟那些社群网站结合会有问题 01/16 02:39
90F：→ YU0121:所以走http 其实应该是可以克服这块 只是现在他们没空而已 01/16 02:39
91F：→ soraka:会有这种疑虑吗 FB自己也是走https啊 01/16 02:40
92F：推 sweetmiki:XD这样危险石油王还肯让我们有游戏玩Q_Q 01/16 02:44
93F：推 egg0808:会长推推 01/16 02:44
94F：推 lovecatbaby:我发现是索拉卡耶 01/16 02:58
95F：→ rehtie:soraka你抓到重点了 神魔完全没有对封包做任何加密 01/16 02:59
96F：推 DDRuby:恩我猜应该是UNIQUE那一串吧 01/16 03:30
97F：→ DDRuby:我这样有违规吗有的话帮我马一下感谢 01/16 03:33
98F：推 RICKY12035:这漏洞也太大了吧= = 原本以为有认证机制应该还算安全 01/16 03:56
99F：→ RICKY12035:照理讲除了那组隐藏密码外，还要至少有身分验证 01/16 03:57
100F：→ RICKY12035:就好像什麽会员都有帐号+密码 而不是只有密码 01/16 03:58
101F：推 soraka:...与其说是密码 更像是uid 01/16 04:09
102F：推 omarandy:是会长大人!!! 推推 <(_ _)> 01/16 09:07
103F：推 lhh1991117:1.封包好像没加密 2.封包里面一些资料有经过hash 01/16 09:25
104F：→ lhh1991117:3.隐藏UID被窃听了=拿到所有操纵权限 01/16 09:25
105F：→ gpc:hash没用,仔细想想,你可以用钛备份还原你的帐号,表示 01/16 09:48
106F：推 jimmyyang207:gpc大不仅是石油王，写的软体也是一流好用！！ 01/16 09:54
107F：推 comesome:可以归可以 但是宝物不能卖出 利益很小 01/16 09:58
108F：→ comesome:他们不会花时间在不赚钱的生意 01/16 09:59
109F：推 SuperSnoopy:神人会长！推推！！ 01/16 14:49
110F：推 tagalong1024:神魔工程师看到应该觉得台湾人猛到爆… 01/16 16:41
111F：→ gpc:盗帐号不需要理由 中二生 小屁孩 无聊打发时间 卖卖你的卡 01/17 17:37
112F：→ gpc:抽抽你的卡 并没有甚麽损失 反正香港公司 伺服器在新加坡 01/17 17:38
113F：→ gpc:你报按警方只会跟你说 这不是我们国内的东西 无能为力 01/17 17:39