Войти или зарегистрироваться

Этот сайт использует файлы cookie. Продолжая пользоваться данным сайтом, Вы соглашаетесь на использование нами Ваших файлов cookie. Узнать больше.
Вы находитесь в сообществе Rubukkit. Мы - администраторы серверов Minecraft, разрабатываем собственные плагины и переводим на различные языки плагины наших коллег из других стран.
Скрыть объявление
Данный раздел создан исключительно для релизов! Вопросы по лаунчеру или обвязке задавайте ТОЛЬКО в соответсвующей теме автора. Любые другие темы будут удалены, а авторы понесут наказание.

Файлы cookie Добро пожаловать! Только для релизов!

В преддверии глобального обновления, мы проводим исследования, которые помогут нам сделать опыт пользования форумом ещё удобнее. Помогите нам, примите участие!

Фикс Защита лаунчера [Переменная сессия]

Тема в разделе "Веб-обвязки и лаунчеры", создана пользователем Dj Arktic, 27 фев 2013.

Страница 3 из 15

Bars Старожил Девелопер Пользователь

Баллы:

173

Dj Arktic сказал(а): ↑

Дорогие ламеры, утверждающие что-то в этой теме - желаю вам смерти.
Декомпиляция лаунчера становится сущим адом, если немножко пошаманить с Jar2Exe
Найти строчку в клиенте можно, но для получения точного алгоритма хеширования нужна декомпиляция, что тоже станет адом, учитывая то, что у MCP стоит RetroGuard. Дублирование классов - вот решение против декомпиляции клиента.
И последнее. Ключ не обязательно указывать строкой. Как вам идея вводить его кодами символов?
Тогда InClssTranslator бессилен.
Отныне прошу писать либо дельные комментарии, либо не писать их вообще, или я удалю тему.
Способ с DLL уже реализовал, но не буду выкладывать его в паблик.
Кому нужно - стучимся в личку.
Если есть знатоки JNI - стучим в скайп dj_arktic
Нажмите, чтобы раскрыть...

Для начала сделайте её у себя и попросите народ протестировать это дельце. Вот тогда, может быть, и найдутся покупатели.

Bars, 1 мар 2013

#41

Help нравится это.
Dr.Creeper Активный участник Пользователь

Баллы:

63

Можешь подкинуть для чистого 1.4.7 Не FORGE
или как сделать это в эклипсе
Отрываем эклипс с рабочим каталогом MCP
Идем в net.minecraft.client.multiplayer.NetClientHandler
И в конец добавляем

Dr.Creeper, 4 мар 2013

#42
VaNnOrus Старожил Пользователь

Баллы:

123
Dj Arktic сказал(а): ↑

Фикс второй дырки
...
Теперь клиент должен поддерживать валидность сессии:

Отрываем эклипс с рабочим каталогом MCP
Идем в net.minecraft.client.multiplayer.NetClientHandler
И в конец добавляем

Код:

private void func198i (){ String x0 = this.mc.session.sessionId; x0 = getHash(x0+"ваш_ключ"); this.mc.session.sessionId = x0; } public static String getHash(String str){ MessageDigest m; try { m = MessageDigest.getInstance("MD5"); m.reset(); try { m.update(str.getBytes("utf-8")); String s2 = new BigInteger(1,m.digest()).toString(16); while(s2.length() < 32 ){ s2 = "0"+s2; } return s2; } catch (UnsupportedEncodingException e) { return e.toString(); } } catch (NoSuchAlgorithmException e) { return e.toString(); } }

Теперь находим строчку

Код:

URL var4 = new URL("http://session.minecraft.net/game/joinserver.jsp?user=" + urlEncode(par1Str) + "&sessionId=" + urlEncode(par2Str) + "&serverId=" + urlEncode(par3Str));

И под ней добавляем

Код:

func198i();

Сохраняем.
Запускаем recompile.bat
Затем reobf.bat
идем в %MCP%/reobf/Minecraft
Забираем класс, лежащий в ней (на версии 1.4.7 это ayh.class)
С помощью InClassTranslator меняем в новом классе путь до joinserver
Заливаем класс в ваш minecraft.jar

Нажмите, чтобы раскрыть...

Вот это явно лишнее.
Мы уже львиную долю безопасности потеряли на ключе в лаунчере, а Вы предлагаете еще и в клиент его положить на всеобщее обозрение.
Зачем клиенту расшифровывать сессию? Он строку валидной сессии может передать целиком, без всяких расшифровок(что успешно и делает), а скрипт апдейтом просто стирает данные о сессии из базы. То есть результат в точности как и у Вас, но мы палим ключ только 1 раз в лаунчере.
Спасибо за статью, с некоторыми отступлениями применил Ваш метод.

Осталось рассказать людям как скомпилировать лаунчер так, чтоб его не вскрыли банально открыв архиватором. В этом есть загвоздка - я использую исходники бухаря(не знаю как дела на остальных). При компилировании .exe с помощью jar2exe и пряча классы у меня перестает работать функция распаковки нативов из jar, соответственно клиент с таким лаунчером не запустить.
Если кто-нибудь подскажет решение проблемы буду благодарен. Есть отдельная тема.
VaNnOrus, 10 мар 2013

#43

zuma2 нравится это.
qwertyYy2 Старожил

Баллы:

103

Для loginserver.php:
Заменяем строки
Нажмите, чтобы раскрыть...

может joinserver?

qwertyYy2, 10 мар 2013

#44

GJEvolution нравится это.
alexandrage Старожил Пользователь

Баллы:

173

VaNnOrus сказал(а): ↑

Вот это явно лишнее.
Мы уже львиную долю безопасности потеряли на ключе в лаунчере, а Вы предлагаете еще и в клиент его положить на всеобщее обозрение.
Зачем клиенту расшифровывать сессию? Он строку валидной сессии может передать целиком, без всяких расшифровок(что успешно и делает), а скрипт апдейтом просто стирает данные о сессии из базы. То есть результат в точности как и у Вас, но мы палим ключ только 1 раз в лаунчере.
Спасибо за статью, с некоторыми отступлениями применил Ваш метод.

Осталось рассказать людям как скомпилировать лаунчер так, чтоб его не вскрыли банально открыв архиватором. В этом есть загвоздка - я использую исходники бухаря(не знаю как дела на остальных). При компилировании .exe с помощью jar2exe и пряча классы у меня перестает работать функция распаковки нативов из jar, соответственно клиент с таким лаунчером не запустить.
Если кто-нибудь подскажет решение проблемы буду благодарен. Есть отдельная тема.
Нажмите, чтобы раскрыть...

Как все наивно тем же jar2exe классы обратно можно вернуть :trf:.

alexandrage, 10 мар 2013

#45
Seintwill Активный участник Пользователь

Баллы:

78

Автор,огромное тебе спасибо
Я смотрел что происходит с iCraft и боялся создавать проект.
Благодаря твоему фиксу жизнь стала лучше

Seintwill, 10 мар 2013

#46

RVXman и Help нравится это.
VaNnOrus Старожил Пользователь

Баллы:

123

qwertyYy2 сказал(а): ↑

может joinserver?
Нажмите, чтобы раскрыть...

Не суть как называется скрипт.

alexandrage сказал(а): ↑

Как все наивно тем же jar2exe классы обратно можно вернуть :trf:.
Нажмите, чтобы раскрыть...

Именно поэтому я предложил обсудить способы защиты от декомпиляции лаунчера в своей теме

VaNnOrus, 10 мар 2013

#47

МиднайтЖелаетВамДобра и The Midnight Wizard нравится это.
pizzlywizzly Старожил Пользователь

Баллы:

123

ТС адекватно, с расстановкой расписал вариант защиты, за что большоой плюс. Как руки дойдут попробовать, отпишусь.
У меня стоит проверка в клиенте md5 самого себя с последующей передачей серверу. Сервер никак не предотвращает подключение игроков с левым md5, а лишь банит их через n-ное время, дабы никто не понял, в чем заключается защита, а админы проверяют логи передачи и всех, кто связан с этим игроков. Довольно эффективно + иногда выявляются баги.

pizzlywizzly, 11 мар 2013

#48
Bars Старожил Девелопер Пользователь

Баллы:

173

pizzlywizzly сказал(а): ↑

ТС адекватно, с расстановкой расписал вариант защиты, за что большоой плюс. Как руки дойдут попробовать, отпишусь.
У меня стоит проверка в клиенте md5 самого себя с последующей передачей серверу. Сервер никак не предотвращает подключение игроков с левым md5, а лишь банит их через n-ное время, дабы никто не понял, в чем заключается защита, а админы проверяют логи передачи и всех, кто связан с этим игроков. Довольно эффективно + иногда выявляются баги.
Нажмите, чтобы раскрыть...

А я думал, что я один до такого додумался
Ну да ладно, зато у меня немного иначе сделано

Bars, 11 мар 2013

#49
pizzlywizzly Старожил Пользователь

Баллы:

123

Bars сказал(а): ↑

А я думал, что я один до такого додумался
Ну да ладно, зато у меня немного иначе сделано
Нажмите, чтобы раскрыть...

У дураков админов мысли сходятся. Когда враг неизвестен, его сложнее победить

pizzlywizzly, 11 мар 2013

#50
aleksandor Активный участник Пользователь

Баллы:

68

Skype:

sanj.666

Имя в Minecraft:

aleksandor

неплохо надо чтобы лаунчер проверял запущена программа которая отслеживает сессию если да то лаунчер закрывался бы

aleksandor, 11 мар 2013

#51
Bars Старожил Девелопер Пользователь

Баллы:

173

Я ещё придумал защиту от мультиакка :trf:
Она легко обходится, но найти её очень трудно...

Bars, 11 мар 2013

#52

slavik123123123 нравится это.
Alastar Старожил Пользователь

Баллы:

173

Автор молодчина!

Alastar, 11 мар 2013

#53
pizzlywizzly Старожил Пользователь

Баллы:

123

Bars сказал(а): ↑

Я ещё придумал защиту от мультиакка :trf:
Она легко обходится, но найти её очень трудно...
Нажмите, чтобы раскрыть...

Реальная защита от мультиакка это считывание отпечатков с мышки каждую минуту игры. Все остальное лишь попытки.

HWID?

pizzlywizzly, 11 мар 2013

#54

Help нравится это.
Bars Старожил Девелопер Пользователь

Баллы:

173

Нет конечно

Bars, 11 мар 2013

#55

slavik123123123 нравится это.
Sanyak91 Активный участник

Баллы:

63

Имя в Minecraft:

Sanyak

Вопрос такой.У меня лаунчер написан на C#,можно ли как-то поставить эту защиту на него?Тем более на сколько я знаю, лаунчер на C# невозможно декомпилировать.

Sanyak91, 11 мар 2013

#56
alexandrage Старожил Пользователь

Баллы:

173

Sanyak91 сказал(а): ↑

Вопрос такой.У меня лаунчер написан на C#,можно ли как-то поставить эту защиту на него?Тем более на сколько я знаю, лаунчер на C# невозможно декомпилировать.
Нажмите, чтобы раскрыть...

ЛОЛ на C# программы дизассемблируют . Но не спорю это более сложный процесс.

alexandrage, 12 мар 2013

#57
Alexey123 Старожил Пользователь

Баллы:

153

Пока что ничто не мешает запустить свой клиент с полученной через вторую дыру сессией(при этом не подключаться к серверу).

Alexey123, 12 мар 2013

#58
alex55i Старожил Пользователь

Баллы:

103

Имя в Minecraft:

alex55i

alexandrage сказал(а): ↑

ЛОЛ на C# программы дизассемблируют . Но не спорю это более сложный процесс.
Нажмите, чтобы раскрыть...

Не C#, а C/C++
СиРешетка также легко декомпилируется как и джава

alex55i, 12 мар 2013

#59

Сникерсни нравится это.
Bars Старожил Девелопер Пользователь

Баллы:

173

alex55i сказал(а): ↑

Не C#, а C/C++
СиРешетка также легко декомпилируется как и джава
Нажмите, чтобы раскрыть...

В данном случае "так же" пишется раздельно.

Bars, 12 мар 2013

#60

(Вы должны войти или зарегистрироваться, чтобы ответить.)

Страница 3 из 15

Поделиться этой страницей