Re: [心得] 台版帐号安全性(误会一场)

楼主: UzInSec (影帝)   2018-11-02 17:52:04
刚刚测试...
的确有办法用旧装置偷偷登入改过密码的帐号
装置A(输入帐密登入前 PS:图中帐号随便打当例子)
https://i.imgur.com/u6Qhqfm.png
装置B(登入后但没进游戏)
https://i.imgur.com/ibNY2Nh.jpg
装置C(进入游戏后)
https://i.imgur.com/XR0vm0Q.jpg
更改密码后
装置A默认的旧帐密会无法登入
使用装置D登入帐号
装置C会被踢下线,(画面正常但只要有连到服务器的动作就会跳异常)
但是装置B却不会有事,在点一下画面就进入游戏!!!
(不过必须保持在这个画面)
也就是说上一个帐号持有者把画面停留在装置B
就能偷偷进入改过密码+用新装置游玩的帐号
不过要保持画面也蛮不容易的...有更新或重进游戏都会变成装置A情况
作者: SKTP (SKTP)   2018-11-02 17:56:00
废话,检查帐密在那个画面之前阿==
作者: rafale9108 (煞气a疾风战斗机)   2018-11-02 17:58:00
刚刚试完也再想B的可能,但刻意维持B来等盗帐号...还要猜中这个帐号刚好这时候是你想陷害的状态...
作者: orze04 (orz)   2018-11-02 17:59:00
B就已经验证完了啊
作者: PRACEMAKER (立川理恵迷( ̄﹁ ̄) )   2018-11-02 18:03:00
你的跟上一篇矛盾耶 他可以同帐号登两个不会被踢掉说你是都安卓或都IOS登是吗
作者: a0975765320 (游杰翔)   2018-11-02 18:06:00
要一直维持在b画面应该是不可能吧改版、手机关机就没了
作者: KiSeigi (Kuroda.K.Masamura)   2018-11-02 18:11:00
卡在登入完成和进入游戏中间?
作者: WhiteScars (白色伤痕)   2018-11-02 19:12:00
如果是用模拟器说不定可以?
作者: methodho (M)   2018-11-02 19:16:00
B帐登入就登入啊,登入之后下一次跟server沟通时就会被踢了,下一次的沟通点看fgo设计,通常是抽卡、删卡、开关卡、取好友资讯等重要的动作
作者: sm02188612 (The Children 01)   2018-11-02 19:43:00
要看怎么设计的 也有可能登入后做动作也不会被踢 要测看看还是文中括号写要保持在这画面就是登入后不能继续动作? 不过,照C情况推估,B继续动作而被踢的机率很大
作者: methodho (M)   2018-11-02 20:16:00
Fgo既然支援多台机器共用帐号,防资料后盖前是最基本的,不然大家都来洗抽卡了,所以合理推测B帐下次跟server沟通时会因资料过时被踢回登入,登入时会因为密码错误而无法登入
作者: rafale9108 (煞气a疾风战斗机)   2018-11-02 21:02:00
所以B和C装置都可以停在登入后的首页,但一有连接服务器的动作就会被踢掉了这样应该不可能有人可以再改密码后用原登入装置再登入了抱歉!没看到推文,居然是B可以把D踢掉但维持状态B实在难度太高了吧,不能关app不能闪退
作者: sm02188612 (The Children 01)   2018-11-02 22:07:00
所以有测过B的情况能进行相关操作吗 刷关 卖卡等
作者: KiSeigi (Kuroda.K.Masamura)   2018-11-02 22:25:00
B先卡著 D进去操作(抽卡)之类的 B把D踢掉 B应该会直接在D的世界线(不然会有洗抽卡问题) 应该也能继续抽下去?
作者: sm02188612 (The Children 01)   2018-11-02 22:46:00
用世界线来比喻反而复杂而且奇怪。现在是每做牵涉到服务器端资料的操作时,都要跟服务器验一次身份资讯,原本看C的情况以为验的资讯中有牵涉到用密码所形成的资讯,没想到觉得如果b情况能正常操作的话,极可能存在安全疑虑,虽然一般认为要卡在那画面是不太可能,但可以把卡在那画面想成一种资料状态,而那资料有可能是能被保存下来的且复原的,毕竟没人会认为那些科技号是像一般流程这样开游戏来刷帐号的吧
作者: KiSeigi (Kuroda.K.Masamura)   2018-11-02 23:46:00
所以B是取得连线的权限但没真的连到服务器的资料?资料部分应该不会被复原? 毕竟资料是存在营运方,手机内的和营运不同应该会被置换成营运的(避免玩家修改造成不公
作者: sm02188612 (The Children 01)   2018-11-02 23:51:00
如果这篇测试为真,那B跟D是没两样的,即只要取得B卡在那画面的状态,就能无视密码新旧而正常使用帐号
作者: KiSeigi (Kuroda.K.Masamura)   2018-11-02 23:54:00
但如果D又重登会把B挤掉 B想在重登会因为密码错误进不了
作者: sm02188612 (The Children 01)   2018-11-02 23:57:00
但就像上面提的那状态其实也只是一种电子资讯,只要他曾制造出这资讯状态,那就有可能可以再造还原,不过没实际研究过fgo的封包 只能说有机会
作者: KiSeigi (Kuroda.K.Masamura)   2018-11-02 23:59:00
真的这样就满可怕的 不管改不改密码都能跳过帐密验证

Links booklink

Contact Us: admin [ a t ] ucptt.com