Re: [心得] 台版帳號安全性(誤會一場）

看板FBG作者 (影帝)時間5年前 (2018/11/02 17:52), 5年前編輯推噓8(8推 0噓 47→)
留言55則, 9人參與, 最新討論串2/2 (看更多)
剛剛測試... 的確有辦法用舊裝置偷偷登入改過密碼的帳號 裝置A(輸入帳密登入前 PS:圖中帳號隨便打當例子) https://i.imgur.com/u6Qhqfm.png
裝置B(登入後但沒進遊戲) https://i.imgur.com/ibNY2Nh.jpg
裝置C(進入遊戲後) https://i.imgur.com/XR0vm0Q.jpg
更改密碼後 裝置A預設的舊帳密會無法登入 使用裝置D登入帳號 裝置C會被踢下線,(畫面正常但只要有連到伺服器的動作就會跳異常) 但是裝置B卻不會有事,在點一下畫面就進入遊戲!!! (不過必須保持在這個畫面) 也就是說上一個帳號持有者把畫面停留在裝置B 就能偷偷進入改過密碼+用新裝置遊玩的帳號 不過要保持畫面也蠻不容易的...有更新或重進遊戲都會變成裝置A情況 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.150.208.77 ※ 文章網址: https://www.ptt.cc/bbs/FATE_GO/M.1541152328.A.B51.html
推
11/02 17:56, , 1F
廢話，檢查帳密在那個畫面之前阿==
11/02 17:56, 1F
問題是用新裝置登入後 不能把這個畫面的踢下線 ※ 編輯: UzInSec (118.150.208.77), 11/02/2018 17:57:25
推
11/02 17:58, , 2F
剛剛試完也再想B的可能，但刻意維持B來等盜帳號...
11/02 17:58, 2F
→
11/02 17:58, , 3F
還要猜中這個帳號剛好這時候是你想陷害的狀態...
11/02 17:58, 3F
推
11/02 17:59, , 4F
B就已經驗證完了啊
11/02 17:59, 4F
B和C都驗證完 但是C會被踢下線 B不會 ※ 編輯: UzInSec (118.150.208.77), 11/02/2018 18:01:03
推
11/02 18:03, , 5F
你的跟上一篇矛盾耶 他可以同帳號登兩個不會被踢掉說
11/02 18:03, 5F
→
11/02 18:03, , 6F
你是都安卓或都IOS登是嗎
11/02 18:03, 6F
要有做連線的動作才會顯示被踢掉(進關 召喚 商店買賣 好友新增或刪除) ※ 編輯: UzInSec (118.150.208.77), 11/02/2018 18:06:01
推
11/02 18:06, , 7F
要一直維持在b畫面應該是不可能吧
11/02 18:06, 7F
→
11/02 18:06, , 8F
改版、手機關機就沒了
11/02 18:06, 8F
推
11/02 18:11, , 9F
卡在登入完成和進入遊戲中間？
11/02 18:11, 9F
推
11/02 18:13, , 10F
真的這樣搞，兇手也夠執著的.....如果他忍不住登進去發現
11/02 18:13, 10F
→
11/02 18:13, , 11F
沒有目標，應該就沒第二次機會了？放著會被原使用者擠掉
11/02 18:13, 11F
→
11/02 18:13, , 12F
，出去也無法再通過密碼檢核
11/02 18:13, 12F
→
11/02 18:14, , 13F
還是說用這方法進去的不會被擠？（一個安卓一個ios之類
11/02 18:14, 13F
→
11/02 18:14, , 14F
的）
11/02 18:14, 14F
→
11/02 18:15, , 15F
原來真的會被擠
11/02 18:15, 15F
→
11/02 19:12, , 16F
如果是用模擬器說不定可以？
11/02 19:12, 16F
→
11/02 19:16, , 17F
B帳登入就登入啊，登入之後下一次跟server溝通時就會被
11/02 19:16, 17F
→
11/02 19:16, , 18F
踢了，下一次的溝通點看fgo設計，通常是抽卡、刪卡、開
11/02 19:16, 18F
→
11/02 19:16, , 19F
關卡、取好友資訊等重要的動作
11/02 19:16, 19F
→
11/02 19:43, , 20F
要看怎麼設計的 也有可能登入後做動作也不會被踢 要
11/02 19:43, 20F
→
11/02 19:43, , 21F
測看看
11/02 19:43, 21F
→
11/02 19:48, , 22F
還是文中括號寫要保持在這畫面就是登入後不能繼續動作
11/02 19:48, 22F
→
11/02 19:48, , 23F
? 不過，照C情況推估，B繼續動作而被踢的機率很大
11/02 19:48, 23F
裝置D進入遊戲的那瞬間會把遊戲中的其他裝置踢掉 但B還沒進入遊戲所以不會被踢掉.反而裝置B進入遊戲會把遊玩中的裝置D給踢掉 除非再重登一次裝置D把裝置B給踢掉. 不過這段時間很可能會被賣卡
推
11/02 20:16, , 24F
Fgo既然支援多台機器共用帳號，防資料後蓋前是最基本的
11/02 20:16, 24F
→
11/02 20:16, , 25F
，不然大家都來洗抽卡了，所以合理推測B帳下次跟server
11/02 20:16, 25F
→
11/02 20:16, , 26F
溝通時會因資料過時被踢回登入，登入時會因為密碼錯誤
11/02 20:16, 26F
→
11/02 20:16, , 27F
而無法登入
11/02 20:16, 27F
※ 編輯: UzInSec (118.150.208.77), 11/02/2018 20:33:08
→
11/02 21:02, , 28F
所以B和C裝置都可以停在登入後的首頁，但一有連接伺服
11/02 21:02, 28F
→
11/02 21:02, , 29F
器的動作就會被踢掉了
11/02 21:02, 29F
→
11/02 21:03, , 30F
這樣應該不可能有人可以再改密碼後用原登入裝置再登入
11/02 21:03, 30F
→
11/02 21:03, , 31F
了
11/02 21:03, 31F
→
11/02 21:04, , 32F
抱歉！沒看到推文，居然是B可以把D踢掉
11/02 21:04, 32F
→
11/02 21:06, , 33F
但維持狀態B實在難度太高了吧，不能關app不能閃退
11/02 21:06, 33F
→
11/02 22:07, , 34F
所以有測過B的情況能進行相關操作嗎 刷關 賣卡等
11/02 22:07, 34F
可以喔
→
11/02 22:25, , 35F
B先卡著 D進去操作(抽卡)之類的 B把D踢掉 B應該會直接在D
11/02 22:25, 35F
→
11/02 22:26, , 36F
的世界線(不然會有洗抽卡問題) 應該也能繼續抽下去?
11/02 22:26, 36F
D抽卡當下 資料傳給伺服器 B進入遊戲 連接伺服器 (會有D抽卡後的資料&紀錄B裝置) D在進行其他連線操作 (伺服器發現裝置不同顯示異常並回主畫面) ※ 編輯: UzInSec (118.150.208.77), 11/02/2018 22:36:42
→
11/02 22:46, , 37F
用世界線來比喻反而複雜而且奇怪。現在是每做牽涉到
11/02 22:46, 37F
→
11/02 22:46, , 38F
伺服器端資料的操作時，都要跟伺服器驗一次身份資訊，
11/02 22:46, 38F
→
11/02 22:47, , 39F
原本看C的情況以為驗的資訊中有牽涉到用密碼所形成的
11/02 22:47, 39F
→
11/02 22:47, , 40F
資訊，沒想到
11/02 22:47, 40F
→
11/02 22:55, , 41F
覺得如果b情況能正常操作的話，極可能存在安全疑慮，
11/02 22:55, 41F
→
11/02 22:55, , 42F
雖然一般認為要卡在那畫面是不太可能，但可以把卡在
11/02 22:55, 42F
→
11/02 22:55, , 43F
那畫面想成一種資料狀態，而那資料有可能是能被保存下
11/02 22:55, 43F
→
11/02 22:55, , 44F
來的且復原的，畢竟沒人會認為那些科技號是像一般流程
11/02 22:55, 44F
→
11/02 22:55, , 45F
這樣開遊戲來刷帳號的吧
11/02 22:55, 45F
→
11/02 23:46, , 46F
所以B是取得連線的權限但沒真的連到伺服器的資料?
11/02 23:46, 46F
→
11/02 23:46, , 47F
資料部分應該不會被復原? 畢竟資料是存在營運方，手機內
11/02 23:46, 47F
→
11/02 23:47, , 48F
的和營運不同應該會被置換成營運的(避免玩家修改造成不公
11/02 23:47, 48F
→
11/02 23:51, , 49F
如果這篇測試為真，那B跟D是沒兩樣的，即只要取得B卡
11/02 23:51, 49F
→
11/02 23:51, , 50F
在那畫面的狀態，就能無視密碼新舊而正常使用帳號
11/02 23:51, 50F
→
11/02 23:54, , 51F
但如果D又重登會把B擠掉 B想在重登會因為密碼錯誤進不了
11/02 23:54, 51F
→
11/02 23:57, , 52F
但就像上面提的那狀態其實也只是一種電子資訊，只要他
11/02 23:57, 52F
→
11/02 23:57, , 53F
曾製造出這資訊狀態，那就有可能可以再造還原，不過沒
11/02 23:57, 53F
→
11/02 23:57, , 54F
實際研究過fgo的封包 只能說有機會
11/02 23:57, 54F
→
11/02 23:59, , 55F
真的這樣就滿可怕的 不管改不改密碼都能跳過帳密驗證
11/02 23:59, 55F
‣ 更多 UzInSec 的文章
文章代碼(AID): #1Rt1v8jH (FBG)
‣ 更多 UzInSec 的文章
文章代碼(AID): #1Rt1v8jH (FBG)