停止伪造连接？ [复制]答案

【问题标题】：Stopping a connection being faked? [duplicate]停止伪造连接？ [复制]
【发布时间】：2013-05-15 01:44:54
【问题描述】：

嗯，我正在为游戏战斗武器设计一个反作弊。我想做的是用数据库“ping”程序，这样人们就不能简单地创建一个程序，让他们看起来好像在使用反作弊。

有没有办法“加密”或阻止其他人轻松模拟连接？我对 PHP 不是很好，到目前为止它是这样添加的：

public function Update()
    {
        $ign = $_GET['ign'];
        $timestamp = $_GET['uid'];
        $time = time();

        if(($time - 10 < $timestamp) && ($time + 10 > $timestamp))
        {
            $this->connection();
            $data = mysql_query("SELECT * FROM users WHERE ign = '{$ign}'");
            if(mysql_num_rows($data) > 0)
            {
                mysql_query("UPDATE users SET lastonline = '{$time}' WHERE ign = '{$ign}'");
            }
            else
            {
                mysql_query("INSERT INTO users (id, ign, lastonline) VALUES ( NULL, '{$ign}', '{$time}' ) ");
            }

            echo "Connected to database";
        }
        else
        {
            echo "Problem connecting";
        }
    }

我需要某种方式来保护它/使它难以快速破解。而且一旦破解，我可以轻松更改，希望这提供了足够的信息！

【问题讨论】：

保护游戏免受欺诈是一项非常复杂的工作。这不像在这里或那里插入几行那么容易。
参见例如What is the best way to stop people hacking the PHP-based highscore table of a Flash game
另外，如果我的 IGN 是 x OR 1 == 1 并且我游戏中的每个人都被禁止？
作弊是您最不必担心的。如何保护您的数据免受 SQL 注入！
游戏的保护很糟糕，我们正在制作第三方程序来改进它@Bart D：它在哪里？

标签： php encryption

【解决方案1】：

首先，您必须清理 SQL 输入。我建议使用带有 PDO 的准备（ext/mysql 是 going on a journey far, far away）。

$db = new PDO(<connection details>);
$prepare = $db->prepare("SELECT * FROM users WHERE ign = :ign");
// Tip: make sure you actually check the prepare worked before trying to execute.
$prepare->execute(array(":ign" => $ign));

等等。阅读reference manual。

但是，如果您使用 mysql_* 并拒绝更改（尽管如果您在发布时将 PHP 更新到 5.5，您将抛出 E_DEPRECATED），请使用 mysql_real_escape_string 并在查询中删除引号。

接下来，实际处理请求。

有几种方法可以做到这一点，但最安全（也是您应该采取的唯一选择）是加密功能强的东西，例如一次性密码或 OAuth。

生成凭据，并让游戏发送一个使用唯一生成的哈希签名的令牌，该哈希可能来自产品代码。这对于每个安装都应该是唯一的，并且应该生成能够被脚本验证的哈希值。

这是游戏公司不断研究的问题，但往往是徒劳的；任何认为值得花时间这样做的人都可以并且将会对您的游戏进行逆向工程。反作弊也一样。

尽管如此，请签署请求并包括：

玩家在游戏中的名字
可以通过某种方式验证的非常准确的时间戳。
请求签名（加密安全）
位置数据（用于禁止快速黑客，但如果有人传送等，请注意误报）
Anti-Cheat 要求的任何其他内容（您可能会为此制定规范）

另外，出于对游戏的热爱，不要进行 Punkbuster 式的反作弊（也就是 不要以僵尸网络式的方式禁止请求；它可能会被滥用 source )

最后，我可能会建议让专业的安全研究人员来审查所有内容。

【讨论】：