История взлома всех игр в Telegram

[Fen1kz]

У меня есть онлайн настолка, там хоть и нет лидербордов, но можете поковырять на предмет преимуществ над другими игроками :)

Зато следующую игру я планирую писать без серверной части, жалко что никто не смог защититься. Может вообще не делать онлайновый лидерборд?

[Jarvis7]

это скорее текстовый квест, чем игра, причем серверный) квестов в тг тоже много

[Fen1kz]

Ну как, там карточки же, существа, всякое такое… По крайней мере если проигрываешь, то игру подвесить точно можно

[VovanZ]

История взлома всех игр в Telegram

Достаточно очевидно, что если вся игровая механика реализована на клиенте, а на сервер отправляются только результаты, то можно отправить на сервер любые результаты. Так что я бы не назвал это "взломом" :)
Обфускация исходников и формата запросов — не панацея, обход — только вопрос времени.

История взлома всех игр в Telegram

В Telegram больше нет игр, кроме тех, что перечислены в статье? А если найду?

[Jarvis7]

Проблема в том, что таких игр 98% среди всех. Об этом стоило написать, что бы разрабы начали переносить хоть часть логики на бекенд. Взломом можно назвать общую массу игр, если за 2-3 дня смог перебрать все популярные игры. И игры для рассмотрения брались из многих источников, в том числе и из games.tlgrm.ru. Если какую то игру не рассмотрел, то она либо типична по решению, либо не популярна.

[Sovigod]

Всех игр? Добро пожаловать: @ChatWarsBot

[Andrey_Volk]

Что за нелепая попытка самопиара? Очевидно, что речь про html5 игры, которые взламывать — как щелкать орехи.

[Jarvis7]

Гм, вперед! Поломай «Tricky Foxy», гений, и выйди на первое место. И попробуй это сделать не подсматривая в статью.

[Jarvis7]

Это текстовый квест сделанный через бота. В текущую тему не очень вписывается

[Sly_tom_cat]

Ну да — классика подхода security by obscurity

[muhammad_97]

*security through obscurity

[Sly_tom_cat]

И так и так пишут т.к. по смыслу это эквивалентные фразы.

[Jarvis7]

Вы не правы. Чем более популярна игра, тем более высокая должна быть безопасность игры. Когда в игру играют сотнями в чатах, десятками тысяч (если есть scoreboard), то какая разница, где реализованна логика, если ты на первом месте?

[lxsmkv]

чем хороши статьи про ботов, что все эти методы можно применять и для автоматизированного тестирования в случае если нет другого инструмента.

[BoberMod]

gameeUI.saveScore(some_score)

Можно еще воспользоваться этим:
GameeWeb.updateScore(1337)
Прописывать в момент смерти.

[Jarvis7]

как момент смерти отлавливать будешь?

[BoberMod]

В принципе, его можно программно не отлавливать. Сделать любое движение, которое приведет к смерти и ~перед смертью выполнить команду
i.imgur.com/s49SVIr.gifv

[Jarvis7]

можно, но зачем усложнять?)

[mcfev]

Для игр из бота @gamebot (дровосек и математический батл) есть способ еще проще. Открыть исходный код программы, найти «random» и поменять на любое число, сохранить. В итоге получится, что в дровосеке деревья появляются только с одной стороны, а примеры, которые надо решить — одинаковые. В игре Corsairs (от того же бота), найти «bulletSpeed» и поменять стартовую константу в 130 и ту строчку, где она увеличивается на 1.1. С остальными платформами не пробовал, из @gamebot одни из первых игры были. Сложнее подобрать красивое число, 777 например (вот здесь есть доказательство @gamestion (не реклама, и группу нашел совершенно случайно)).

[xndr]

Круто! Есть чем перед девчонками похвастаться!

[Jarvis7]

Особенно если эта девочка HR

[devalone]

Чит для дровосека: открываем консоль, вводим Math.random = function() { return 0.5; } и рубим ветки с одной стороны
Для кораблика: опять же в консоли function fixBulletSpeed() { bulletSpeed = 1; setTimeout(fixBulletSpeed, 1); }; fixBulletSpeed(); уворачиваемся, как нео, от снарядов.
Правда результаты на сервер не отправлял, т.к. меня забанили после наглой попытки послать curl'ом такой же запрос, подменив Highscore на 1000000

[devalone]

P.S. первый чит также работает для math battle. Вот улучшенная модификация:

Math.random = function() { return 0.5; }; function clicker() { document.getElementById('button_wrong').click(); setTimeout(clicker, 100); }; clicker();

Возможно у вас надо будет жать другую кнопку.

[Jarvis7]

Найс)

[IPRIR]

Очень приятно увидеть плоды своих трудов в этой статье. (tricky foxy)

[Jarvis7]

Сам разраб Лисицы оценил, спасибо!)

[Jarvis7]

Вот по примеру его игры нужно строить фронт енд логику

[Fen1kz]

А зачем, если вы все равно его взломали?

[Jarvis7]

Потому что делал это долго, сделать это было проблематично, и большинство людей просто не станет так сильно заморачиваться. И взломал, потому что был баг в работе сервера. Если бы не он, было бы все намного сложнее. И я был первым, кто нашел этот баг среди 100к людей, и второй среди тех, кто когда либо ломал эту игру. Так что это говорит о прекрасно проделанной работе одного разработчика.