[🐣질문] 보안 관련해서 묻고 싶다요

[익명(221.150)]

갠적으로 여기 겐주님에게 여쭤 보고 싶은데 바쁘실까봐 게시판에 물어봄

겜에 로그는 따고 있는데 그걸 다 확인할 엄두는 안나고 

재화 조작하는 이력 어떻게 잡아야 하는지 그방법이 너무 궁금한것이여요

정지는 할수 있는데 그걸 잡아내는 팁이나 노하우 가 너무 없는것이여요

[익명(58.124)]

먼저 화면에 노출되는 변수 A랑 노출되지 않는 변수 B를 만든 다음에 둘 다 재화값을 가지도록 세팅. A와 B는 서로 독립적이어야 함. A와 B는 정상적인 로직에서는 같은 값을 가지지만 플레이어가 A만 수정하면 A와 B가 다른 값을 가지게 됨. A와 B가 다른 값을 가지면 서버에 유저 id 전송

[ㅇㅇ 1(211.209)]

그리고 좋은 답변 감사드리옵니다 정말 착하신 분이세요

[ㅇㅇ 1(211.209)]

선생님 그 로직은 제가 다른데서도 봐서 안그래도 적용할까 생각중인 부분이었어요 그런데 제가 의심이 드는 부분은 핵프로그램으로 메모리 변조를 할시 예를들어 돈 재화를 A 변수 B 변수에 담는다 할때 이 치터가 변동값을 찾아내서 변경 할텐데 2가지 변수 값을 다 찾아내어 변경 하는것 아닌가요? 만약에 그렇다면 이것은 무용지물이 되어버리는 것이 아닌가 해서요

[ㅇㅇ 1(211.209)]

그리고 제가 몰라서 여쭤보는데 만약에 문제가 없다면 이방법이 일반적으로 많이 사용되는 방법일까요? 좀더 파고들어 연구해볼필요가 있을거 같습니다 선생님 감사합니다

[ㅇㅇ 2(118.235)]

재화가 서버에 저장되는거 아님? 근데 재화변조를 왜걱정함?

[ㅇㅇ 1(211.209)]

서버단에서 모든 로직을 하면 상관없는데 클라단에서 계산하고 서버에 저장만하는경우가 사실 많거든

[ㅇㅇ 2(118.235)]

치트엔진처럼 단순히 메모리검색해서 변조하는건 간단히 xor연산만으로도 값을 검색못하게 계산할수 있긴한데 서버에서 재화변동을 연산하지 않는구조면 각잡으면 다뚤리긴함..

[ㅇㅇ 2(118.235)]

제재같은 경우 보통 수집형 RPG의 스테이지 같이 스테이지 내부는 클라에서 처리하고 클리어 결과만 서버에서 처리하는걸 예로 들면

[ㅇㅇ 2(118.235)]

최고데미지랑 클리어시간 같은걸 서버에 전송하고 정말 말도안되는 경우 다음 패치때나 심하면 바로 일괄제재하는식 운용함

[ㅇㅇ 1(211.209)]

선생님 일단 상세한 설명 고마워요 근데 궁금한게 서버단 계산을 하고 싶어도 원리를 모르겠어 만약 재화 A를 올리다고 했을때 서버단에서 한다는게 무슨 말인거야 재화 A 100을 얻었다 그러면 A += 100; 이러고 PHP 연동해서 저장 이러고 있는데 서버단에서 한다는건 재화얻는.PHP 실행 클라 상태 확인 PHP상에서 100을 얻는 상황이면 100을 올려줌 머 이런 구조인거야?

[ㅇㅇ 2(118.235)]

아.. php로 하는구나? 보통은 간단하게 json같은거라도 테이블을 쓰지? 클라는 그냥 1번몬스터 잡았다 라고만 요청하고 1번몬스터 잡았을때 보상처리는 서버에서 1번몬스터테이블에 있는걸 가져와서 증가시켜야지.

[ㅇㅇ 1(211.209)]

음 서버 초짜라 어려버 일단 결론적 마지막으로 여쭤볼게요 아까 윗님이 말씀해주신 변수A 변수B 만들어서 두개비교해서 다른값일경우 서버로 아이디 넘기는 스킬 이거 실제로도 많이 쓰는 부분인거지? 일단 요거 좀 파서 적용해볼라고 하거든요

[ㅇㅇ 2(118.235)]

음.. 보통 구조체나 클래를 하나만들어쓰는데 생성자에 int를 받으면 그걸 xor해서 멤버로 저장해 두는식으로 씀

[ㅇㅇ 2(118.235)]

이벤트 보상받는거 이런것도 다마찬가지야. 그냥 1번이벤트 완료했어라고 보내기만 하는거지 1번이벤트 끝났으니 재화 100올려줘 까지 요청하는게 아님

[ㅇㅇ 1(211.209)]

빡대가리라 욕할수 있겠지만 내 입장에서는 말이야 원리는 이해되었는데 결론은 저것도 1 번이벤트 끝났다고 요청 받으면 1번 검증단에서 이게 진짜 1번이 끝난게 맞는지 검증을 하는거자나 그럼 내 짧은 생각엔 1번 끝나서 100 재화 올려줘 이렇게 보낸후 서버단에 1번 끝난게 맞는지 확인해서 검증통과되면 올려주고 안되면 안올려주고 결론은 서버단에서 한다는게 그게 그거 아니야 ?

[ㅇㅇ 2(118.235)]

물론 서버에서 조건체크는 다해야지.. 그게 서버에서 어려운로직이면 몬스터 잡는걸로 예를들면 최대데미지나 잡는데걸린시간들을 보내서 기록해놨다가 제재하는데 쓰는거지.

[ㅇㅇ 1(211.209)]

아그래 고마워 많이 도움이 되었어 넌 천재 같구나 따듯한 마음씨도 가졌구 너가 고수같아서 내가 다 이해는 못했지만 어느정도 이해하고 도움이 많이 되었어 근데 너 겐주는 아니지?

[ㅇㅇ 2(118.235)]

겐주가 머임!?

[ㅇㅇ 1(211.209)]

아 여기 이디겜개발러 중 한명인데 혹시 그 친구인가 해서 물어봤어 마음따뜻한친구야 좋은밤되고 항상 행복해 ~ 고마웠어

[ㅇㅇ 2(118.235)]

http://ndcreplay.nexon.com/NDC2014/sessions/NDC2014_0100.html

[ㅇㅇ 2(118.235)]

유니티 쓴다면 NDC영상 참고해봐