Хостинг серверов Minecraft playvds.com
  1. Вы находитесь в русском сообществе Bukkit. Мы - администраторы серверов Minecraft, разрабатываем собственные плагины и переводим на русский язык плагины наших собратьев из других стран.
    Скрыть объявление
  2. Данный раздел создан исключительно для релизов! Вопросы по лаунчеру или обвязке задавайте ТОЛЬКО в соответсвующей теме автора. Любые другие темы будут удалены, а авторы понесут наказание.

Совет Уязвимость системы авторизации

Тема в разделе "Веб-обвязки и лаунчеры", создана пользователем hyndo, 10 фев 2014.

  1. Serrrgio

    Serrrgio Старожил Пользователь

    Баллы:
    173
    Skype:
    nonecsa
    Имя в Minecraft:
    None
    просто empty, без !
     
  2. Хостинг MineCraft
    <
  3. Serrrgio

    Serrrgio Старожил Пользователь

    Баллы:
    173
    Skype:
    nonecsa
    Имя в Minecraft:
    None
    перевожу на русский, к примеру $_GET['sessionId'] передается пустой:
    если ( (размер GET не равно 3) или (не пустая $_GET['sessionId']) или (не пустая $_GET['user']) ) =
    = если (0 или 0 или 1), результат логического сложения 1, условие срабатывает, но срабатывает на не пустой $_GET['user']

    или это я торможу?
     
  4. alexandrage

    alexandrage Администратор

    Баллы:
    173
    Skype:
    alexandr0116
    Все же мой касяк :D. Одиночные нули определаються неправильно
    http://alexandrage.dyndns.org/site/joinserver.php?sessionId=00&user=00&serverId=00

    sizeof($_GET)!=3 это 3 гет в строке ?get1=1$get2=2&get3=3 Может кому то нужна такая проверка.[DOUBLEPOST=1392140729,1392140224][/DOUBLEPOST]А кто был вот таким умником :D

    [11 02 2014 20:09] ud`fm9fm:`83=050gnhd7ni`b652oc3n;70719122hha031<o02h<147`hj4`=3:5`gin1g Gioner -39de3e162405236a33eda3695560811859cd77e1
     
    Последнее редактирование: 11 фев 2014
  5. alexandrage

    alexandrage Администратор

    Баллы:
    173
    Skype:
    alexandr0116
    Достаточно не пропускать null и все.
     
  6. Oleg505

    Oleg505 Активный участник Пользователь

    Баллы:
    88
    Имя в Minecraft:
    MrCreative
    Если лаунчер уязвим, то админку могут взломать?(войти под логином админа)
     
  7. alexandrage

    alexandrage Администратор

    Баллы:
    173
    Skype:
    alexandr0116
    Тут обсуждается другого рода уязвимость. Якобы зарегистрированный лузернейм у которого сессия еще null, может зайти с батника не введя сессию. Не знаю на счет других лаунчеров, в лаунчере сашка нет таких дыр. Хоть и защита от читов там слабенькая, но дыр точно нету.
    Sashok724 сейчас пабликовый лаунчер, он теперь как api -> пример для написания лаунчера на java. И как временное решение для новичков.
     
    Последнее редактирование: 12 фев 2014
  8. Dereku

    Dereku Старожил

    Баллы:
    173
    Skype:
    derek_unavailable
    Имя в Minecraft:
    _Dereku
    Не мой код :coffee:
     
  9. alexandrage

    alexandrage Администратор

    Баллы:
    173
    Skype:
    alexandr0116
    Dereku, Как все запущено, у меня принимается aes s= и на скрипте расшифровывает.
     
  10. Dereku

    Dereku Старожил

    Баллы:
    173
    Skype:
    derek_unavailable
    Имя в Minecraft:
    _Dereku
    Вот я примерно тоже самое хочу сделать на авторизации в клиенте - шифровать в одну строку все переменные и расшифровывать в клиенте. Вот только пока порт креативного инвентаря с 1.3.2 на 1.2.5 криво работает - блоки не отображаются во вкладках :(
     
  11. alexandrage

    alexandrage Администратор

    Баллы:
    173
    Skype:
    alexandr0116
    Я шифрую в одну строку ник, сессию, сервер, инфу от универсального обхода.
     
  12. Dereku

    Dereku Старожил

    Баллы:
    173
    Skype:
    derek_unavailable
    Имя в Minecraft:
    _Dereku
    :\
    булева активности аккаунта, булева бана, строка ника, строка сессии, int писем, int группы, int предупреждений, int виртуальных денег, int реальных денег.
    Вот так вот :D
    Хотя оно потом будет изменяться - я ещё не смотрел, какие виды шифровки могут дешифровываться обратно :/
     
    MegaFlary нравится это.
  13. alexandrage

    alexandrage Администратор

    Баллы:
    173
    Skype:
    alexandr0116
    Вот и я думаю, может rsa юзать, там паблик ключ не может расшифровывать.
     
  14. Dereku

    Dereku Старожил

    Баллы:
    173
    Skype:
    derek_unavailable
    Имя в Minecraft:
    _Dereku
    Можно глянуть :)
     
  15. Aнатолий

    Aнатолий Старожил Пользователь

    Баллы:
    103
    Skype:
    sasay1337
    Имя в Minecraft:
    4epB9Ik
    Привер ребятки :D
    Это дело я выложил не совсем для обхода батника
    (я в начале указал что для людей которые знают куда это можно применить)
    Пустыми бывают не только колонки с сессией, об этом не стоит забывать...[DOUBLEPOST=1392209586,1392208860][/DOUBLEPOST]
    Заметь, это ты сейчас тут написал, а на проектах стоят голые лаунчеры :) без данного фикса..

    Вот код фильтрации в реальном времени (стоит на 99% проектов с сашами)
    PHP:
      
        
    if (!preg_match("/^[a-zA-Z0-9_-]+$/"$user) || !preg_match("/^[a-zA-Z0-9:_-]+$/"$sessionid) || !preg_match("/^[a-zA-Z0-9_-]+$/"$serverid)){

        echo 
    "Bad login";
        exit;
        }

    И не каких Empty
    Так что не надо мне тут голову засерать :)
     
    Dereku и blogger2 нравится это.
  16. Dereku

    Dereku Старожил

    Баллы:
    173
    Skype:
    derek_unavailable
    Имя в Minecraft:
    _Dereku
    Фикс вступил в силу почти сразу же после того, как @alexandrage увидел тему :D
     
  17. Evan

    Evan Старожил Пользователь

    Баллы:
    123
    пффф. ждите нового фикса, с PDO :D[DOUBLEPOST=1392216641,1392216546][/DOUBLEPOST]
    пфф. пойду туториал запишу :D
     
  18. blogger2

    blogger2 Старожил Пользователь

    Баллы:
    123
    Skype:
    ilja0176
    Имя в Minecraft:
    XuPoH
    camtasia в руки и вперед!
    ыы
     
  19. Evan

    Evan Старожил Пользователь

    Баллы:
    123
    bandicam) и windows movie maker :D
     
    ПриветОтЛайки нравится это.
  20. alexandrage

    alexandrage Администратор

    Баллы:
    173
    Skype:
    alexandr0116
    Так оно все равно же не робило. Я дописал чтоб вас успокоить. Если кто сможет переписать на PDO будет еще лучше.
     
  21. Evan

    Evan Старожил Пользователь

    Баллы:
    123
    Я переписываю как раз
     

Поделиться этой страницей