Global puanlama tablolarına yanlış puan raporlarını nasıl önleyebilirim?

Tarayıcı ve mobil oyunlarda genel olarak global yüksek skor tabloları bulunur. Ayrıca, bu tabloların 2.147.483.647'lik puanları içermesi de yaygındır - burada insanlar webservice çağrısı aradıklarında skorları bildirir ve onu hayali bir skoru kaydetmek için kullanırlar.

Basit bulmaca oyunları için, oyuncuya yapılan her hareketin (ve seviyeyi oluşturmak için kullanılan rastgele tohumların) skor raporlama aramasına bir kaydını ekleyerek buna karşı savunabiliriz. Daha sonra oyunun tamamı sunucuda çoğaltılabilir ve doğrulanabilir.

Ancak, bu hızlı bir şekilde Pac-man'dan daha büyük bir şey için olanaksız hale gelir.

Bu tür hile yapmak başka nasıl önlenebilir?

Moblox için kullandığımız iç sistem (daha sonra OpenFeint ile değiştirildi) şöyle çalıştı:

• Düz HTTP üzerinden bir JSON mesajı gönderin (HTTPS değil). Tüm alanların bir MD5 karması ve bir sihirli dize ekleyin.
• Sunucuda, aynı işlemle mesajın bütünlüğünü kontrol edin.

Sistemi kırmak için, bu sihirli ipi bulmak zorundasın. Tersine mühendislik ile mümkündür, ancak acı verir.

OpenFeint, ScoreLoop ve CocosLive, hepsi aynı numarayı kullanır, ancak HTTPS ile birlikte kullanılır. Uygulaması çok kolay.

Karmaşık oyunlar için sunucuya tüm tekrarları göndermek her zaman mümkün olmamakla birlikte, benzer bir sistem, sunucunun periyodik olarak (ve yarı rasgele) durumunun bir kısmını istemesini istemesi için kullanılabilir. oyun çalışıyor.

Örneğin, bir FPS'de her dakika "Kaç tane öldürücünüz var?", "Bütün düşmanlar nerede?" Diye sorabilirsiniz. Müşteri, bir yarışmada makul bir cevapla geri gelmezse Makul bir süre, hile yapıyorlar.

Elbette, bu yalnızca oyun tüm oyun oturumu boyunca çevrimiçi olduğunda çalışır. Buradaki amaç çevrimiçi bir lider panosuna yüklenebildiğinden, bunun makul olduğunu düşünüyorum - yanlış cevap verirse oyuncuyu oyundan atmayın, sadece skor listesine girmelerine izin vermeyin.

Bununla birlikte, tekrar göndermeyi yeniden gözden geçirmenizi tavsiye ederim. Tek ihtiyacınız olan ilk rastgele tohum ve zaman damgalı giriş. Bu gerçekten en fazla birkaç yüz KB olmalı. Birçok arcade oyunu zaten oyuncu incelemesi amacıyla tekrar oynatmak için bunu yapıyor; Sunucunuzun bunları doğrulaması önemsiz olmayabilir, ancak botlama dışında her türlü hileyi önler.

En üst puan tablosundaki en yüksek sonuçları izleyerek en çok kötüye kullananları sınırlayabilirsiniz. Oyununuza bağlı olarak, yukarıda herhangi bir puanın hileli olması gereken "mükemmel bir skor" olabilir. Değilse, en düşük "imkansız puanı" nı hesaplayabilirsiniz. oyuncu saniyede 10 atış yapabilir, oyun 1 dakika sürer ve öldürülen her düşman 100 puan değerinde midir? O zaman 60.000'den yüksek puanlar hileli olmalıdır.

Ayrıca bazı meta veriler göndererek sorunu hafifletmeye de yardımcı olabilirsiniz; tanımladığınız gibi oyun geçmişinin tamamı değil, sadece skoru oluşturan bileşenler. Diyelim: 60000 puan, 500 düşman öldürüldü ve bir bonus ürün ele geçirildi. Daha sonra basit kontroller yapabilirsiniz. Bu "gizlilik yoluyla güvenlik" dir ve bu nedenle hiçbir şekilde güvenli değildir, ancak saldırganların en naifliğini ortadan kaldırmaya yardımcı olur.

Nihayetinde, sadece inanılmaz derecede yüksek puanları ekarte edebilirsiniz, çünkü geri kalanlar (tanım gereği ile) yalnızca mantıksızdır ve bu nedenle meşru (ve harika) bir oyuncu olabilir.

Aksi takdirde, şaşırtma tekniklerine güvenmek zorundasınız (şifreleme ve sadece puanın ötesinde diğer istatistikleri gönderme gibi).

Ayrıca, oyun oynanırken skoru periyodik olarak gönderebilirsiniz, bu da hile yapmak için başka bir karmaşıklık seviyesi ekler - yani, sunucu oyunun belirli bir skoru garanti edecek kadar uzun süre oynanıp oynanmadığına karar verebilir ve ayrıca yeterli ara raporların alınmasını sağlayabilir oyun sırasında alındı ​​(sadece% 100'ünü yapmayın ya da eve giderken bir tünele giden tren telefonu pencereden fırlatmama neden olur).

Nihayetinde birisi onu kırmanın bir yolunu bulacaktır, bu yüzden onları durdurmaya çalışırken kendinizi öldürmeyin.

Bir süre önce bir projeye hızlı / kirli yüksek skor tablosu ekledim ve internet güvenliğinde ustalaşılmamıştım. Şaşırtıcı bir şekilde, yaklaşık 1.200.000 kaydedilmiş skorla, sadece 5 veya 6 kez kesin olarak hatalı puanları topluyordum. Skorların çoğu bile gerçek bir "hack" den ziyade oyunda bir aksaklık gibi gözüküyordu.

Bu yüzden önemli bir nokta olduğunu tahmin ediyorum: oyununuzun puanlama sisteminin hava geçirmez olduğundan emin olun veya en azından gerçekten iyi bir puan fizibilite kontrolü yapın; Şimdi, bahsettiğim bu oyun bir Ludum Dare 48hr girişi oldu, bu yüzden etrafındaki en istikrarlı şey değildi .. ama genel olarak sıradan oyuncunun oyun içi bir aksaklıktan daha fazla keşfedilmesi / istismar edilmesinin daha muhtemel olduğunu düşünüyorum. birinin doğrudan afişe "hack" etmesi.

Bununla birlikte, şu anda bu projenin bir tekrarı üzerinde çalışıyorum ve şaşkınlıkla dışarı çıkıyorum. Çok fazla ayrıntıya girmeyeceğim, ancak temel olarak tüm puanların bir grup rastgele değere ve hash değerine ve sihirli bir dizgeye dayanan önemli bir değer sunmasını istiyorum, daha sonra bu kontrolü geçen ve gerçek olacak kadar yüksek olan herhangi bir puan En iyi X "afiş panosunda başka bir onaylama turu geçmesi gerekiyor (bu sefer sunucu ucunda üretilen zaman aşımına uğramış bir anahtar değeri ve daha ayrıntılı fizibilite kontrolleri ile).

Ayrıca , ne tür şeylerin görünür olduğunu test etmek için bir tür paket izleyici kullanmanızı öneririm (başlangıçta, yüklenen bir skorun http isteğini bulmak ve çoğaltmak için birinin paket izleyiciyi kullanmadan kullanabileceği anlamına gelen daha basit bir doğrulama işlemi yapıyordum) sihirli dize ya da herhangi bir şey (önce okunaklı bir puana ihtiyaç duyduğunuz anlamına gelir, ancak bu puanın kopyalarını istediğiniz kadar gönderebilirsiniz ..). Bunu test etmek için Wireshark kullandım .

Huh, bu biraz uzun sürdü, ama umarım yardımcı olur ...

Bu alanda uzman değilim, ancak siz yerdeysem, kodu kodunuza gömülü bir anahtarla şifrelemeye çalışacağım. Bu kişilerin web servisleri için kullanılan düz metin yerine kodunuz üzerinde tersine mühendislik uygulamasına ihtiyaç duyacaklar.

Speedruns temelde her tuş vuruşunun kaydını tutuyor ve bir WHOLE oyunu hakkında kayıt yapıyorlar. Yani, evet, tüm oyunu kaydedebilirsiniz, bu mümkün değil. Herhangi yapmak için başka bir yol ters mühendislik yoluyla crackable (Ben yeterince stres olamaz: Eğer güvenlik, sen bilinmezlik ekliyoruz katamazsın).

Yine de, bu şekilde yapsanız bile, aslında bir speedrun sunabilirler. Bunu önlemek için hiçbir şey yapamazsın.

Sen varken, yüksek bir puanın sadece bir istismara uğrayan bir oyuncu olup olmadığı sorusu var (örneğin, oyundaki bazı şeyler bir puan cezası verirse ve bir böcek negatif bir puanın "sarılması" sonucunu doğurursa) son derece olumlu olmak için ... ya da sadece tahtada oturmak ve sonsuza dek kaybetmekten endişe etmek zorunda kalmayacakları, tahtada güvenli bir nokta gibi belirli bir oyun koşulu bulan bir oyuncu).

Bir hack ile oyunun istismar edilmesi arasındaki farkı söylemek için en azından bazı oyun verilerini yüklemek iyi olacaktır. En azından istismarları çözmene yardım edecek.

Bazı oyunlar için (özellikle sıra tabanlı olanlar için), aslında oyun tarafında tüm oyun mantığının sunucu tarafında olduğu ve istemcinin sadece bir arayüz olduğu sunucu üzerinden oynanmasını sağlayabilirsiniz. Bu, sadece puan kesmeyi çok zorlaştırmakla kalmaz, aynı zamanda sunucudaki tüm oyuncu işlemlerini önemsiz bir şekilde kaydetmenize ve böylece istediğiniz zaman herhangi bir oyunu tekrar oynatmanıza olanak sağlar. Bir seğirme aksiyon oyunu gibi bir şeyin farkına vardım, bu pratik olmayabilir.

Tüm rastgeleliklerin kaynağını tek bir tohumdan yapın ve her kare için girişi saklayın. Herhangi bir puanınız yüksekse (en iyi 50 diyelim), tohum ve tam girişi sunucuya gönderin. Oyunu sunucuda tekrar oynatın ve yüksek bir puan alırsanız büyük tabloyu güncelleyin.

İsteğin boyutundan dolayı daha karmaşık oyunlar için bunun uygun olmadığını düşünüyorsanız, bu örneğe bir göz atın.

Oyunun 8 tuş girişi (1 tuş ve 4 tuş) olduğunu ve 60 fps'de çalıştığını söyleyin. Sıkıştırma olmadan bir saatlik oyun girişi 3.6KB ile iletilebilir. Oturumunuz muhtemelen bir saatten daha az sürecek ve sıkıştırma, insan girdisinde çok fazla fazlalık olduğundan dolayı çok fazla küçülmeli.

Buradaki zorluk, oyunu deterministik, kaydedilen girdilerden oynanabilir ve sunucu üzerinde çalıştırılabilir hale getirmektir.

Bunu daha önce hiç uygulamamıştım ama ...

Zaman damgaları ile puanları aşamalı olarak gönderin. Bu, skorun ne kadar sıklıkla geliştiğini ve skorun "momentumunu" izlemek için bir yol olduğunu gösteren bir günlük sunar.

Daha sonra puanlarınız için kilometre taşları / kriterleri belirlersiniz.

Örneğin: 20.000'den büyük bir puan oyunun ilk 20 saniyesinde gelemez. 250.000'den büyük bir puan, 200.000'den büyük bir giriş olmadan ulaşılamaz.

Bu oyun gönderme durumuyla tam olarak aynı değil, buna yakın.

Yan Yarar: Bundan alabileceğiniz tüm faydalı oyun istatistiklerini düşünün. Birisi prob bunun için iyi para ödeyecek.