[easy lvl] хак игрового крипто турнира

Автор @player001
Специально для forum.LIMB.cc

[easy lvl] хак игрового крипто турнира



Содержание

Введение
Реверс инжиниринг апи по истории запросов
Проблема “не отрабатывает апишка, если дернуть через постман”
Проблема “файл запакован и зашифрован”
Поединок с другим хакером “битва разумов”
Кикнут с турнира

Введение

Хеллоу, комьюнити! Хочу поделиться своей недавней историей хакинга в мире крипты. Криптокомпания организовала игровой ивент, призовой пулл несколько к$. Один из победителей определяется пользователь, который смог набрать максимальное количество очков за попытку игры. Игрушка была браузерной, с примитивным геймплеем, как это обычно и бывает в крипте. Суть игры была в том, чтобы соединить одинаковые шарики, после чего 2 шарика превращаются в один побольше (больше мерджей - больше очков). Поиграть в аналог (и даже поломать) можно на этом сайте https://suikagame.com/



Реверс инжиниринг апи по истории запросов

На любом сайте, открыв браузерную консоль разработчика (ctrl + shift + c), во вкладке Network, можно увидеть все запросы которые были отправлены клиентом на сервера сайта. Обычно в Network показывается много мусорных запросов (например метрики браузера, cloudflare и тд), поэтому нужно применять фильтры, например тыкнуть Fetch//XHR, либо через поиск (ctrl + f) попробовать вбить домен сайта. Но даже применив фильтр, при перезагрузке страницы история запросов пропадает (можно и сохранить, прожав галочку “Preserve log”). Поэтому удобней скачать историю запросов на свой комп и открыть в привычном редакторе json файл (история в json сохраняется).



В IDE увидите большой файл со всей историей запросов. Не пытайтесь искать глазами, только через поиск (ctrl + f) по домену сайта, таким образом нужно будет просмотреть примерно 20 апишек, чтобы примерно понять как работает сайт.



Находим апи с говорящим url (game-over) и телом (score). Вот мы и нашли апишку которая нам нужна. С первого взгляда подумал, что score просто закодирован в base32-64 (не зашифрован)



Да, это base64, но все таки очки зашифрованы или захешированы.. Попробовал прогнать через радужные таблицы с разными алгоритмами, но без успехов.



На этом этапе я еще параллельно с попытками расшифровать, открывал Burp Suit (да в прошлой статье забылся и написал wireshark).





Можно заметить, что игру я закончил на 784 очка, клиент отправил запрос на сервер, но так как я включил браузер от burp suite, с каким-то по специальному настроенному TLS, то могу перехватывать сообщения и менять содержимое. К слову именно этот сайт не дает так ломать рейтинг, но есть копии этого сайте, где получалось, но в этот раз найти не смог. Может в том самом турнире и получилось бы через Burp Suite, но все равно надо было узнать как шифруются данные.

Проблема “не отрабатывает апишка, если дернуть через постман”

Я не силен во фронте, но долго пересматривая код JS страницы, наткнулся на вызовы функций внутри JS, которые нигде не описаны. ИИ подсказало, для веб-игр есть специфичные файлы: .wasm (WebAssembly) и .pck (Godot package), а файлы с таким же расширением я видел были в гет запросах. Стало понятно, что игрушка запускалась в браузере через движок godot ( JS скачивал и запускал файл index.pck). Но почему то через консоль разработчика браузера этот файл никак не хотел показывать тело ответа или же скачиваться на комп. Как оказалось для апишки, которая скачивала этот файл нужно было обязательно указать в хедере с какого места выполнен запрос.



И вот тут уже разгадана первая загадка - получилось хоть что-то, что не дается просто так =)

Проблема “файл запакован и зашифрован”

Скачал такой файл, а он никак не хочет открываться и что там не понятно .Оказалось что используется игровой движок godot (маленький движок для маленьких проектов), который когда компилирует свои проекты - шифрует или кодирует их не знаю, но функционала по открытию уже скомпилированных проектов - нет .



Погуглив и скачав 4-5 расшифровщиков проектов godot (ну и естественно большинство из них это вирусов покачал, хоть пор**ху посмотрел между делом). Параллельно с поиском расшифровщиком godot, пытался закинуть файл во gragonUnpacker5, онлайн сервисы различные. В итоге нашел какой-то, называется godotdec-master, ссылку уже не найду. Открыл программу, перетащил файл, и хоть каталоги стало видно. Даже отчет расшифровки показывает.





И вуаля - полностью исходный код всей игры у меня в IDE.



А еще немного покопавшись в коде нашлась та самая функция которая шифрует финишные очки и отправляет запрос game-over на сервера.





Алгоритм:
1) берется номер игры как строка + номер транзакции (крипта же все таки) и от этой суммы строк берется хэш SHA1, а от хэша первые 10 символов. Это будет ключ для XOR шифрования
2) потом проход в цикле по каждому очку
3) для каждого очка генерируется 5 символьная случайный приставка
4) для каждого очка генерируется 5 символьный случайный суффикс
5) для каждого очка создается строка приставка + очко + суффикс, назовем строку новое очко
6) для каждого нового очка, делают проход по каждому его символу, берут код символа делают XOR с символом от key(символ от key берется как замкнутая цепочка от первого символа до последнего и после последнего символа снова первый). И результат XOR например 11110000(A) XOR 11000011(B) = 00110011(C), то есть символ C получается записывается на то место, откуда по индексу A
каждое очко шифруется в base64
7) Кидаю в ИИ и прошу переконвертировать алгоритм на питон, чтоб мне проще было автоматизировать запуск и финиш игры.

И вот, казалось бы игра хакнута, очки кручу как хочу, топ 1 держу. Радовался лазейки и потихоньку накручивал себе очки чтобы сильно не палиться и держать топ 1. Однако вскоре нашелся еще один “хакер”, который не стал церемониться и поставил новый рекорд с большим отрывом, 100 тыс очков.



После такого мува от конкурента, нужно было ставить самому новый рекорд, хотя бы 101 тыс очков, но тут и произошла проблема данной темы. При отправке мной 101 тыс очков, возвращалась ошибка 413 Request Entity Too Large, разрабы явно не ожидали что появятся “PRO игроки” с таким безумными результатами. И тут стало понятно, почему конкурент поставил именно такой рекорд.

По своему опыту и тексту сообщения понимаю что стоит ограничение на размер тела запроса и также по опыту знаю, что разрабы в ингрес прописывают обычно только ограничение body size message.

Поштурмив гугл и базы уязвимостей ответа не нашлось, однако ИИ подсказала решение. Большинство фреймворков разных языков поддерживают функционал чанков по дефолту (chank - способ когда данные летают не цельными запросами/ответами, а кусками, например ИИ отвечает чанками, поэтому пишет по буквам). Убираем из заголовков запроса заголовок Content-Length и добавляем заголовок Transfer-Encoding: chunked.



Запрос улетает и обрабатывается серверами backend, пролетая сквозь ограничения, так как в один момент времени какая либо прокся видит только один чанк, а не все тело запроса. Теперь можно хоть гигабайтами слать данные. А чтобы чанками нельзя было обойти ограничение, нужно указывать новое ограничение на чанки в конфиге.

И вот казалось бы снова я на коне, конкурент застрял и не догадывается как обойти ограничение прокси на размер тела. Но этот конкурент, решил пойти в лоб и написал в поддержку игры, что игра не засчитывает его рекордные большие счета и админы убрали ограничение…мое разочарование в этот момент было не слабое.

Поединок с другим хакером “битва разумов”



Мне было определенно понятно, что этот конкурент поставит новый рекорд на последних секундах турнира, поэтому нужно было самому атаковать: так как у меня было много аккаунтов, то на последней минуте игры выставил “сетку”, чтобы каждые 10 секунд мой аккаунт ставил новый рекорд, таким образом если конкурент поставит новый рекорд на последних секундах, то у меня есть шанс побить его рекорд, не дожидаясь пока пройдет вся задержка обновления таблицы лидеров. Так и произошло, конкурент поставил новый рекорд за 30 минут до конца турнира (глупо так было делать так как для таких больших очков нужно чтобы время игры было большое, а значит он больше не мог с этого аккаунта ставить рекорды). И казалось бы, конкурент сделал ход и я могу просто 1 раз перебить его рекорд и не запускать сетку, но я не знал точно, есть ли у этого фраера еще аккаунты, поэтому придерживался стратегии.

Пошла последняя минута, сетка отработала, турнир закончился, я топ 1. Но это был первый момент когда админы заподозрили читерство))) слишком уж палевно, перестарался я с этой сеткой. Админы взяли паузу перед объявлением победителей.

Кикнут с турнира



А спалился я как полный лузер. Хоть и все аккаунты были зареганы через разные прокси (от дата центров брал прокси, а для таких дел нужно покупать резидентские прокси - ip будет как публичный ip у роутера домашнего, рандомного чела), и провайдер был одинаковый “host organization name”, недоглядел. Также, не знаю на сколько это правда, но админы сказали, что лично обращались к провайдеру и тот ответил, что все IP были куплены одним человеком.