[💬] 벌써 클라 해킹당하고 난리났네

[겐주(gun913)]

한국에만 서비스하면 이런일 없을 줄 알았는데

api 바디값 그냥 마음대로 바꿔서 요청하네

너무 보안에 안일했다

- dc official App

[밤톨이도토리(jwchang2008)]

ㄷ ㄷ ㄷ 해킹 능력자들이 왜케 많누

[밤톨이도토리(jwchang2008)]

보안은 뭐뭐했음? API 요청까지도 건드린다고? ㄷㄷ

[겐주(gun913)]

보안 딱히 안해놓음.. 허접게임 누가 해킹하겠어 하고ㅜㅜ - dc App

[익명(14.32)]

api 요청 건드리는게 오히려 더 쉬움.. 와이어샤크같은 툴쓰면 http로 쏘는건 바로 다 노출되기 때문에

[익명(14.32)]

그래서 왠만한 놈들은 서버사이드에서 검증하는게 좋아.. 애초에 api에서 중요한 값을 결정하지 못하도록 하는 형태로 구성되는게 좋겠지. 아이템 구매로 예를 들면 A아이템을 구매한다고 쳤을때 인자로 A를 받는게 아니라 상점 목록에서 몇번째 인덱스의 아이템을 구매한다. 같은 형태로 만들고 실제 목록은 서버가 가지고 있는 형식임.. 그러면 api를 뚫어도 해커가 할 수 있는건 구매하는 아이템의 인덱스만 바꿔볼 수 있을 뿐이지 원하는 아무개 아이템을 넣을 수는 없어질거아냐

[겐주(gun913)]

게임결과값도 조작해가지고 하던데 이런거는 그냥 자체난독화밖에 없나 ㅠ - dc App

[익명(14.32)]

그쪽 테크닉은 나도 잘 모르겠네 나는 서버에서 대부분의 로직을 처리하는 게임밖에 안 만들어봐서.. 클라에서 모든 플레이가 처리되고 결과만 보내는 식이라면 너무 말도 안되는 클리어인지 정도 밖에 체크 못하지 않을까.. 앱이 직접 보낸 메시지인지만 체크할 수 있게끔 뭔가 수를 써볼 수는 있을거 같은데 어차피 뚫으려면 다 뚤릴거 같아서

[겐주(gun913)]

이게임이 pvp 이런건 아니라 그래도 재화몰수하고 밴시키면 되긴하는데 찝찝하긴함 ㅜㅜ 조언 고마워! - dc App

[해당 댓글은 삭제되었습니다.]

해당 댓글은 삭제되었습니다.

[겐주(gun913)]

내가 서버개발은 아니라서 잘 모르겟음.. 그냥 aws라는 것만 알고잇음 - dc App

[익명이(121.138)]

http 통신을 이용한게 있어? get이나 post 같은거 클라우드서버 이용해서 하는거는 뚫기 어려울텐데

[익명(121.149)]

body를 그냥 바꿔서 요청하는거라잖아

[지피티짱(gptchan)]

jwt