Степени уязвимости JS

Question

Никогда не доверяйте клиенту. Это моя кодирующая мантра. Все javascript могут, с достаточным усилием, быть перезаписаны или скомпрометированы. То, что я хочу понять, это то, как.

Предположим, что я написал функцию checkStep() для игры - каждый раз, когда игрок перемещается на один пробел, он проверяет сервер на наличие каких-либо событий: восстановление HP, ввод случайной битвы, переход к следующей карте и т. Д. Я спросил себя «Я, как я могу переписать или отключить эту функцию?» Исследования выявили некоторые противоречивые результаты. Некоторые источники говорят, что функции могут быть напрямую переопределены с консоли, другие говорят, что это будет гораздо более сложный процесс.

Мой вопрос: что бы игрок должен был сделать, чтобы переписать или отключить функцию checkStep()? Могут ли они просто переопределить его с консоли? Должны ли они копировать, модифицировать и повторно размещать мой код? Как бы вы это сделали?

Please note, I'm not asking how to make this function secure. The first person to leave an answer/comment along the lines of "you can try minifying it, but it still wont be secure" or "put in some server-side checks" is getting bludgeoned with a semicolon, as an example to the rest.

Answer 1

Вы можете использовать прокси-сервер отладки для веб-поиска, например Fiddler, чтобы сделать это для вашей локальной машины. Такие программы позволяют перехватывать контент, который вы загружаете, и возиться с ним. Таким образом, вы можете написать новую версию функции, а затем использовать программу, чтобы заменить ее своей версией, когда файл загружается с сервера. Затем для вашей локальной машины код будет работать с новой функцией. На странице web session manipulation на сайте Fiddler есть еще несколько деталей.

Answer 2

Нет никаких оснований использовать Javascript или браузер.

Если обычный пользователь может использовать свой браузер для игры, любой пользователь может использовать любую программу для связи с сервером и отправлять ему все, что захочет. Сервер не может узнать, использует ли кто-нибудь браузер для подключения к нему или нет.

Это относится ко всему. Игровой сервер не знает, подключается ли пользователь к нему через официальный игровой клиент. Поскольку официальная игра закрыта, было бы легко доверять ей, хотя можно перепроектировать используемые протоколы и использовать что-либо для подключения к серверу.

Answer 3

Сложные вещи, такие как создание вредоносного игрового клиента или использование прокси для изменения содержимого, прежде чем он попадет в браузер, являются технически обоснованными точками, однако это похоже на то, что очень сложно сделать для чего-то очень простого.

var checkStep = function() { 
    ... // your original function 
} 

// later on 
checkStep = function() { 
    alert('foo'); 
} 

Совершенно верно в JavaScript для изменения функции, которую имеет переменная. Любая функция, которую вы определяете, может быть переопределена на стороне клиента. Это можно сделать с помощью других файлов сценариев, загруженных браузером, в которых используются конфликтующие имена переменных, сценарии, вводимые через XSS, или пользователь, создающий консоль.