[🐣질문] 싱글 플레이 게임 안티치트 방안좀 봐주셈

[익명(121.175)]

우선 이 글에서는 게임 가디언 등을 통한 모바일 게임 재화 해킹만 다루고 있음.

우선 모바일 게임에서 사용되는 재화 해킹 방식은

엄청나게 뻥튀기 시킨 재화로 아이템을 사고 다니는 유형과

있지도 않은 재화로 아이템을 재화 없이 구매하는 유형 중

첫번째 유형만이 사용된다고 가정하고 작성함.

그 이유는 두번째 유형은 살면서 본 적이 한 번도 없기 때문임.

우선 사용자의 다이아가 오가는 모든 행동

예를 들어 레벨업 보상을 받는다든지 퀘스트 보상을 받는다든지

이것들을 전부 기록되도록 만듦

그리고 다이아 값의 변화가 생기면

현재 다이아 개수를 보고

기록과 비교 하면서

이 새끼가 사기 치는건지 판별함

만약 해커 새끼가 기록 값을 조작 하려고 한다면

기록 값의 변화가 생길텐데

예를 들어 광고 시청 보상 다이아 +5개 -> +1000개

이렇게 기록 값의 변화가 생기면

그 즉시 해킹으로 간주하고 조치를 취함

왜냐하면 게임을 플레이 함에 따라 값이 계속 변하는 재화와 달리

한번 기록된 기록 값은 영원히 변할 일이 없기 때문에

그 값이 변했다는 건 빼박 해킹이라는 뜻이니까.

어떰? 이거 그림 그리고 다 쓰는데 1시간 걸렸으니까

진지하게 답변 해주셈

나름 열심히 정성들여 작성했음.

[익명(222.117)]

변했다는 걸 어떻게 감지할건데

[익명(121.175)]

예를들어 다이아 100개가 있으면 이 다이아가 100보다 크거나 작아지는지 계속 검사 하는 거임.

[익명(222.117)]

그 기준값이 변하는 걸 어떻게 감지할건데

[익명(121.175)]

변했다는 걸 감지하기 어렵다면 사진 속에서 '다이아 값의 변화가 감지되면'이라는 조건을 없애버리고 그냥 '현재 다이아 개수와 기록에서 계산한 다이아 개수를 실시간으로 계속 계산' 이렇게 하면 됨. 과부하가 우려된다면 1초마다 반복 3초마다 반복 이런식으로 하면 되고

[익명(222.117)]

기록과 다이아 개수를 동시에 수정하면 어떻게 감지할건데

[익명(121.175)]

기록을 수정하면 곤란하겠지만 그런 기록 시스템이 있다는 거 자체를 모를걸?? 어떻게 알게?

[익명(121.175)]

대부분 게임가디언 쟁이들은 다이아 값 수정했는데 바로 계정이 정지되면 다른 시스템을 예측하지 내 기록 시스템을 예측할 수 있을까?

[익명(222.117)]

그런 매우 나이브한 시도는 막을 수 있겠지 근데 게임 시작하자마자 재화를 수정한다 치면? 기록이 없거나 초기값 기록만 있을텐데 이거 시행착오 좀 하면 충분히 뚫을껄? 이것도 어찌저찌 난독화한다고 치면 또 할말은 없지만

[익명(222.117)]

그리고 바로 정지시키기엔 님 코드에 버그가 있을 가능성도 고려해야함

[익명(121.175)]

게임을 시작하자마자 재화를 수정 한다고 치자. 기록에는 게임 최초 실행 보상 다이아 10개가 전부겠지? 그럼 사용자의 현재 다이아는 10개여야만 함. 그런데 현재 다이아가 1000개다? 그럼 정지를 때리는 거임. 버그가 있을 수도 있는데 추후 조치도 불가능한 싱글 모바일 게임을 정지 시키는게 위험 하다는 의견에는 할 말이 없네. 대신 정지 해제 키를 숨겨놔서, 버그 때문에 무고한 유저들 다 정지먹고 대참사가 일어나는 최악의 경우에는 모두에게 키를 뿌리는 거임.

[익명(222.117)]

정지 해제 키를 지들끼리 서로 공유한다면?

[익명(222.117)]

"정지"라는 상태도 사실 뭔가 좀 이상함. 이것도 다 서버에 저장되지 않는 이상 조작 및 수정이 되거든

[익명(121.175)]

정치 해제 키는 말 그대로 최악의 상황에 해커들까지 다 밴 풀리는 걸 감안하고 뿌리는 거라서 너가 말한대로 싱글 모바일 게임에서 함부로 계정을 정지 시키는 거에 대한 위험성은 내가 반박할 말은 없음

[익명(121.175)]

아니면 어차피 정지 해제 조치도 하기 힘든 싱글 모바일 게임이니까 그냥 데이터를 전부 삭제 시켜버리는 처리도 있고...

[익명(121.175)]

게임 시작하자마자 재화를 수정 하는 건 막을 수 잇을 것같음

[익명(222.117)]

그런 해제키마저도 다 암호화를 하더라도 숨겨낸 걸 찾아낼 수 있거든 여러가지 방법으로 서버가 있지 않은 이상 완벽한 방어가 불가능함. 이제 그렇게 찾은 키를 서로 공유한다면.. 데이터 삭제를 해버리면 이제 복구 안되니까 버그 생기면 님 별점 테러 맞고 플랫폼이 심의 거부할 일밖에 안 남음

[익명(121.175)]

그럼 일단 해킹 감지되면 팅궈버리는 걸로 하자. 재접속 해도 다이아 개수 차이 나는 건 여전하니까 또 바로 튕기겠지? 그렇게 무한으로 튕기게 해놓다가 나중에 알고보니 심각한 버그가 발견되어 수 많은 무고 피해자가 발생 했다면, 게임을 업데이트 해서 버그를 수정한 버전을 내놓는 거임.

[익명(222.117)]

뭐 그런 방향으로 어찌저찌 했다고 쳐도 유저 수가 최소 반갈은 날거임 정말 정말 즉시 대응하지 않는 이상 작업량, 작업난이도, 치트 유저가 결제 유저로 넘어가는 비율, 버그날 위험성 고려해보면 수지타산에 안 맞아

[익명(211.196)]

스테이지를 천번 깬척하면 어떡할건데

[익명(121.175)]

어차피 99.99% 애들은 그냥 게임 가디언같은 프로그램으로 다이아 값만 수정할 거고 안 된다면 암호화를 고려하지 내가 말한 저런 기록 시스템이 있다는 걸 전혀 모를걸? 저걸 어떻게 알게?

[익명(121.175)]

물론 너 말대로 기록 시스템을 간파하고 그렇게 한다면 좀 곤란하긴 할듯

[익명(218.144)]

윗댓대로 어케 감지하는지 몰루겟네 저런식으루 할거면 걍 정규 방법으로 재화 변동이 있을때 암호화해서 값 하나 더 기록해두고 다음 변동 전에 체크해서 현재 재화랑 다르면 컷하는 방식이 나을듯

[익명(121.175)]

감지 하는 방법 윗댓에 적어놨음. 이상 있으면 반박 환영

[익명(121.175)]

감지가 어렵다면 그냥 현재 다이아랑 기록으로 계산된 다이아를 실시간으로 계속 비교 하면 됨

[익명(123.215)]

마음 편하게 서드파티 보안툴 쓰자

[익명(121.129)]

안드로이드 초창기때 게임치2로 다뚫어보고 게임가디언까지 다 써봤던 사람임 일단 대충 부정으로 변화하는값으로 실험해서 되는지, 정지되는지 확인하고 정지되거나 원하는대로 안된다 하면 다이아같은 유료재화를 얻거나 쓰면서(주로 한 화면에서 사용을 함) 변화하는 값들의 헥스주소코드랑 값 다 저장하고 사용하면서 그 해당 주소와 값들이 어떻게 변하는지 체크하면서 바꿈 기록하는 방법은 그냥 기록도 같이 바꾸면 되고 암호화는 값 여러번 바꾸면서 규칙성 찾아가지고 역으로 해서 해냄 서버를 사용하지 않는 이상 근본적으로 아예 막을 방법은 없음

[익명(121.129)]

그리고 몇몇 특정 치트 사이트같은 경우는 A라는 게임의 다이아 주소값은 ~~~~~입니다 하면서 다 정리해둠 그러면 굳이 본인이 찾을필요없이 다른사람이 써준대로 해당 주소값으로 바로 이동해서 값 변경시켜버림

[익명(121.129)]

부정 > 부계정 오타났네

[익명(121.129)]

그리고 싱글게임이면 정지하는것도 결국 어플안에 값으로 저장되어있을거고 이것도 그냥 뚫림 실제로 팔라독이라는 게임에서 다크독버전이 막 출시됐을때 다크독의 경우는 팔라딘 최신판 apk를 구한후, 해당 apk에서 다크독을 캐쉬재화처럼 별도로 구매해야 다크독 모드가 열리는 방식이였음. 내가 당시에 노가다로 주소값 찾아내서 어플 키자마자 일시정지시키고 해당 주소값 들어가서 0으로 되어있는거 1로 바꿔서 다크독 모드 강제로 열었었음. 매번 킬때마다 수정해야하긴 하지만 그정도 하는건 일도아님

[익명(121.129)]

값을 암호화하거나 겉값 진값 따로 해서 쉽게 고치지 못하게 하는방식, 기록하는 방식으로 변화 탐지하는 방식 두가지 방식 모두 옛날 안드로이드 진저브레드~아샌때 만들어진 게임에서 쓰였던 방식이고 당시에 게임빌 게임이 저 두 방식 자주 사용했음 그래서 치트사이트에서 겉값은 이거고 진값은 이거다 하면서 다 암암리에 서로 공유하기도 했고 요청으로 어떤게임 뚫어주세요 이런것도 다 있었다. 결국 못막아서 게임 자체를 유료로 출시했었고, 유료 출시를 하니까 또 사람들이 아예 안사버리니 문제가 되서 결국에는 무료로 출시, 중요데이터는 서버에 저장 방식으로 넘어감

[익명(121.175)]

근데 다이아를 사용하면 기록 값이 바뀌는게 아니라, 새로운 기록 값이 태어나는 건데 완전히 새로 생기는 값까지 다 추적하고 수정할 수 있음??

[익명(121.129)]

코드상에서 int형이라면 변수선언을 하는거 자체가 이미 주소값이 할당되었다는거고(C#기준 별도로 값 할당 안해도 0이란값이 들어감) 그 할당된 주소값들은 게임가디언에 전부 나온다

[익명(121.175)]

서버를 사용하지 않는다면 결국 아예 안 뚫리는 방법은 없고 뚫는데 오래 걸리는 방법만 있는구나. 부계 만들어서 뚫을 때까지 반복 하면 되니까 그치? 그러면 값을 조작 했을 때 마치 '값을 조작해서 밴 당한 것처럼' 바로 정지 때리지 말고 시간이 좀 지난 뒤 그냥 그 게임의 본래 문제인 것마냥 버그가 터져서 게임 진행을 불가능하게 만드는 거임. 그러면 어차피 그냥 버그 망겜이라고 생각하고 접지 않을까?

[익명(121.129)]

그에대한 예시도 있지 폰겜은 아니지만 정확히 게임 제목은 기억안나지만 배트맨 게임이였는데 크랙버전으로 게임을 다운받았을경우 특정 스테이지 진입 시 몬스터 몰래 날아서 반대편까지 가야하는데 버그로 날아지지않아 자꾸 추락하는 버그가 발생했고, 이를 유저들이 해당 회사에 문의하고 트윗을 날리자 해당 회사의 트위터에서 버그가 난것은 당신의 양심입니다 라며 크랙판은 사실 게임회사에서 일부러 버그를 만들고 뿌린거였음. 네가 말한 방식이 이거랑 비슷하다고 할수있겠네

[익명(121.129)]

다만 아직 학생신분이거나 이쪽 업계 일해본 경험이 없는거같네 만약 네가 말한거처럼 버그가 터져서 게임 진행을 불가능하게 한다하자. 그러면 당연히 사람들은 그에 대한 불만을 올리고 버그 신고를 하거나 평점을 깎겠지. 게임사 입장에서는 버그 신고로 인해서 평점이 깎이는거에도 되게 민감함. 거기에 하나하나 님이 치트써서 그런거임 ㅅㄱ 한다 하면 그 사람들이 양심에 찔려서 5점으로 바꿔줄까? 아니? 오히려 이악물고 1점에서 절대 안바꿀걸 그리고 평점뿐만 아니라 메일같은거로 버그 신고가 한가득 들어올텐데 그에대한 처리는? 만약 그 수많은 버그신고중에 진짜로 버그가 터져서 진행이 안되는 계정이 있다면? 그 메일들을 하나하나 다 확인해야하는것도 일임

[익명(121.129)]

물론 단순 인디게임에 그 귀찮은 메일을 얼마나 쓰겠냐 하면 진짜 거의 극소수로 오지만 평점 같은 경우는 그렇지 않지 그리고 유입되는 사람들도 평점만 보고 평점이 개낮네? 쓰레기겜인가보다 하고 평점만 보고 넘기는 경우도 많아. 심지어 그것이 버그 때문에 게임 자체 진행이 안되서 평점이 낮다? 더욱 다운받지않겠지. 설사 그 버그가 게임사가 의도한 버그라한다 할지라도 유저 입장에서는 게임사를 이해해줄 필요가 없으니까

[bowmore(qcs5jom3x9tq)]

해킹 하는 애들 수준이 초딩이라고 전제해놓고 글을 썻네ㅋㅋㅋ 계속 추적추적 거리는데ㅋㅋ 뭘 어떻게 설계하고 개발하건 결국 추적하는 메소드가 true/false 리턴하는거고 무조건 true 나오게 고치면 끝임 개발만큼 진지한게 해킹씬인데 넌 개발 해킹 둘다 발도 안담궈본 티가 난다

[음(163.114)]

인게임 결제 하려는거면 서버가 필수고 그렇지 않으면 해킹하든 말든 그냥 둬..

[익명(211.62)]

기록이 서버에 있어야 가능한거고 기록이 클라이언트에 있는 한 해킹은 너무 쉽다