Поиск уязвимостей в мультиселлах

[Aristocrat]

Написание логгера, откуда какой байпас вызывается, займет меньше 5 минут, все равно легко отследить

Когда по серваку разбросают OVER9000 донок и эпиков, то уже поздняк будет что-то отслеживать)

[vetal.lebed]

Ну господи, прям обижаете детский фикс то (проверка ID итемов которые поступают с запросом)

Ну так и я не пальцем делан

Ну да, то что детский и не пальцем видно из кода...

Код:

Arrays.sort(crystals);
        if (Arrays.binarySearch(crystals, crystal) < 0) {
            player.sendMessage("Ваш аккаунт заблокирован. Обратитесь к администратору.");
            LoginServerCommunication.getInstance().sendPacket(new ChangeAccessLevel(player.getAccountName(), -100, 0));
            final GameClient client = LoginServerCommunication.getInstance().getAuthedClient(player.getAccountName());
            if (client != null) {
                if (player != null) {
                    player.kick();
                }
            }
            Log.LogBanned(player, "Попытка получить предмет ID которого ", 0, crystal, 0);
            return;
        }

Две непонятные проверки (1 тупо вообще 100% возвращает true).
Также меня смущает поиск. Ну тут уже можно и подумать. много разных факторов.

[Deazer]

Ну человек хотя бы публикует наработки , а не "Я АЩЕ ТАКОЙ С ВЕРТУХАНА ША", а как проскакивает ваш код , так без платочка ни как.

[gre4ka]

А скажите пожалуйста, где отправляются байпасы?

[WoWan-SM]

Когда по серваку разбросают OVER9000 донок и эпиков, то уже поздняк будет что-то отслеживать)

Со словом "откат базы" ты не знаком?)

Добавлено через 4 минуты

Ну да, то что детский и не пальцем видно из кода...

Код:

Arrays.sort(crystals);
        if (Arrays.binarySearch(crystals, crystal) < 0) {
            player.sendMessage("Ваш аккаунт заблокирован. Обратитесь к администратору.");
            LoginServerCommunication.getInstance().sendPacket(new ChangeAccessLevel(player.getAccountName(), -100, 0));
            final GameClient client = LoginServerCommunication.getInstance().getAuthedClient(player.getAccountName());
            if (client != null) {
                if (player != null) {
                    player.kick();
                }
            }
            Log.LogBanned(player, "Попытка получить предмет ID которого ", 0, crystal, 0);
            return;
        }

Две непонятные проверки (1 тупо вообще 100% возвращает true).
Также меня смущает поиск. Ну тут уже можно и подумать. много разных факторов.

Согласен можно их обе убрать.

[n3k0nation]

А скажите пожалуйста, где отправляются байпасы?

Тут читаются: 0xb3 BypassUserCmd
Отправляются в ссылках HTML.

[WoWan-SM]

Прочел тему, посмотрел код из 1го поста. Чего ты так пыжишься, проверщик байпасов?
Уже давно обсуждали, ка защититься. Запоминать байпасы который мы отослали в текущей хтмле клиенту, когда клиент дергает байпас, проверять, а отсылали мы такой байпас ему. Валидация делается на все, кроме аргументов (то что вводится в строки, к примеру). Собственно, такой пример делает невозможным даже использование пресловутого бага с echo crystall без всяких дополнительных проверок.
Да уж, тс явно не пальцем делан.

10 мой пост еще раз перечитай.

[Aristocrat]

Со словом "откат базы" ты не знаком?)

Ваши клиенты с ним хорошо знакомы, как я понял)

[WoWan-SM]

Ваши клиенты с ним хорошо знакомы, как я понял)

Со мной как раз они это слово забывают.

[Aristocrat]

Ладно. Спасибо за шару. Успехов в работе.