你的手游遭遇信任危机了吗?从XcodeGhost漏洞事件看手游安全测试

这两天的安全领域被一个词刷屏了,XcodeGhost,这种病毒不仅会在应用运行时窃取用户信息,甚至还会模拟收费或帐号弹窗来窃取你的iCloud及iTunes密码。受影响应用数超过76款,涉及用户多达1个亿。

那么XcodeGhost究竟是什么?

简单的说,就是在iOS开发工具中加入一段恶意代码,导致凡是使用这个工具开发的APP都会被感染,而安装被感染APP的手机则会沦为黑客的“玩具”。

在用户心目中“坚不可摧”的苹果生态系统这一次遭遇了“信任危机”,人们开始发现苹果的安全防御机制比想象的更加脆弱。

“信任危机”是企业危机中最严重的之一。“信任危机”让企业无论做什么都会让用户产生怀疑,让企业的一切举措都将事倍功半。

从XcodeGhost漏洞事件来看手游领域,手游的安全问题是引发“信任危机”的重要导火索,作为安全领域的老鸟,在手游一片红海的当下,想谈谈手游安全的重要性,同时想给大家分享一些实用的手游安全测试方法。

一、为什么安全测试这么重要?

来看看几种常见的安全问题:

1. 游戏盗号,利用安全漏洞对游戏内账号做批量盗取,对玩家的直接损伤不用提,盗号的资金流入市场影响的是整个游戏市场平衡。

2. 外挂,从端游到页游,太多游戏是因为外挂问题被玩家抛弃,直接影响着玩家体验。

3. 客户端二次打包,这个带来的风险比前几个都大,而且后患无穷。可能是直接被安装了购买插件,开发者的利润流向了黑客的口袋,更恐怖的是向玩家投放钓鱼病毒,直接获取玩家的银行账号等个人资产信息。

除了这些问题外,还有非常多的安全问题。这些问题都将直接、间接影响游戏游戏的收入、留存,给开发者造成重大损失。所以,如何预防安全问题迫在眉睫,安全测试应运而生。简单概括安全测试是泛指能够影响游戏平衡性,并且对游戏有破坏性和恶意影响的问题。包括几大安全领域:

· 包括网络帐号、网络充值的问题涉及到了网络安全的领域;

· 客户端的安全,反破解、反调试等属于软件安全的领域;

· 游戏外挂的检测与防御,就比较类似于杀毒软件的检测做法;

· 游戏内逻辑漏洞的检测,又更倾向于软件测试领域的内容;

· 还有游戏内的欺骗、钓鱼等方面。

二、该如何做安全测试?

其实游戏的本质,是客户端与服务器端的数据通信。安全测试的过程也主要是围绕数据来进行。手游安全测试,其实也是手游安全攻击的过程。在攻击的过程中,让其存在的安全问题自动显现出来。通过对数据的修改,让服务器端承认修改后的异常数据,就是安全测试所需要发现的问题。首先,开始手游安全测试前,需要对游戏的分类有大概了解。

(一)游戏的分类

在PC端游盛行的时代,网络游戏根据交互实现的不同就已经分为了两种类型。封包逻辑强校验的游戏,例如MMORPG等类型游戏,这类是主流。还有一类游戏,由于需要考虑到游戏的实时操作体验,使用的是UDP协议交互。这类游戏使用了弱校验的封包逻辑。

而到了手游时代,除了上述两个原因,还需要考虑手机不同于PC端的独特情况。因此,弱校验类型的游戏也变得更多。

针对强校验类型的游戏,一般情况只需要测试器游戏协议封包逻辑。因为,这种类型的游戏,在本地的所有关键数据都不参与运算,均是在服务器端进行的运算。

(二)常用手游安全测试方法

了解了游戏分类,下面从游戏逻辑内容的角度,说明常规的一些测试方法。

1. 协议测试

例如天天富翁和全民小镇等手机游戏,就是属于强校验的手游。玩家在天天富翁游戏内的每个基本操作,都有与服务器端通信处理。例如投掷骰子。

针对这些类型的游戏,并没有太多可以本地修改的内容。因为本地修改的内容,都会通过每个封包去与服务器端交互。

因此,只需要对游戏内的每个封包进行安全测试,那么这个游戏的安全问题,就比较有保证。封包测试时,可以从两个角度进行测试。

A、针对每个封包的字段内容,进行边界测试;

B、每个封包也可以在不同的场景下,尝试进行状态测试。

可以根据游戏的内容,对测试内容交互封包进行罗列,循序渐进,完成测试。

天天富翁的强制拍卖问题

(在天天富翁的前期版本,可以通过修改发送封包实现强制拍卖对方地标建筑的问题。该BUG为通过修改封包实现。)

2. 内存数据修改

而针对弱校验类型的游戏,其在本地有部分的计算替代了服务器端的计算逻辑。目前,更多的做法是在游戏结束时,将计算操作的数据保留发送向服务器端。由服务器端确认计算逻辑的有效性。

例如天天酷跑内角色在游戏内的跳跃等动作。

这种类型的游戏,测试重点则放在了内存数据修改和代码修改上。因为计算的数据存放在本地,虽然服务器端最终有校验处理,但不能够完全的保证校验处理的全面性。

常用的安卓内存修改器

对于手游来说,内存数据修改测试也是目前门槛最低的测试方法。但是测试的覆盖度,相对协议测试来说,没法准备的保证。但是可以根据单局游戏结束时,客户端向服务器端发送的封包、以及游戏界面上的显示数据等来确认可能可以修改的数据内容。

3. 代码修改测试

继续弱校验类游戏,当通过修改内存数据不能实现部分测试功能时,亦可通过修改代码实现。如下图。

针对于2dx类型的游戏,可以通过IDA分析so中的函数名称,定位关键函数,修改实现安全测试的功能。

而针对与unity类型的游戏,其主要逻辑代码均存放与C#的dll中。可以通过反编译获取源码后,修改IL代码实现测试功能。

4. 变速测试

针对于有些游戏,可以通过调整游戏的运行速度来实现测试功能。

希望的测试结果是,首先,游戏本身的防护可以阻止加速插件的加载;其次,如果可以加速效果,那么希望加速后可以不影响到游戏的功能和平衡性。

如果使用加速后,可以降低游戏难度,或者增加游戏得分,那这就属于安全的问题。

(三)Wetest手游安全测试

Wetest手游安全测试,主要侧重于Apk层面的权限、策略风险等问题。其主要功能包含有:

敏感权限检测、本地数据安全、网络数据安全、应用的C#源代码上的逻辑错误语法错误等问题。

目前市面上的其他保护,更多的是安全加固,提供保护方案。而Wetest的安全测试则侧重于安全扫描的功能,能够自动的发现一些Apk层面的问题,并且无需上传工程源代码。

三、结语

游戏安全领域的攻防向来是道高一尺魔高一丈,攻防双方都处于不断的演变和进化过程中,因此游戏安全防护需要长期持续的研究与投入,是场持久战。

个人认为,手游的安全问题,不是就单靠技术就能完全解决的问题。技术手段只是提高了门槛,并没有从根本上解决手游的安全问题。

这是需要从多方面多管齐下,例如技术防护提高门槛,用户反馈提供渠道信息,法律角度增强威慑。需要提供从多个维度来保护才能达到比较理想的效果。

►欢迎小伙伴们与我们多交流沟通,我们会收集大家的意见,不断优化完善,提供更优质的服务!

原文发布于微信公众号 - 腾讯WeTest(TencentWeTest)

原文发表时间:2015-09-24

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

编辑于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏编程一生

《静儿的服务治理私房菜》服务治理和架构

12220
来自专栏Modeng的专栏

推荐3个微信小工具,..%的人都不知道

微信这个不多说,现在已经成为了一款超级 APP,几乎是每个人手上都会有的 APP,但是大家都知道它是一款社交工具,支付工具,大多都是用来聊天,刷朋友圈,移动支付...

34620
来自专栏IT技术精选文摘

小程序开发指南

93480
来自专栏大数据文摘

一个披萨电影夜,你到底泄露了多少个人数据?

16540
来自专栏美团技术团队

初探下一代网络隔离与访问控制

概述 安全域隔离是企业安全里最常见而且最基础的话题之一,目前主要的实现方式是网络隔离(特别重要的也会在物理上实现隔离)。对于很小的公司而言,云上开个VPC就实...

57070
来自专栏杨建荣的学习笔记

oracle中的asm文化(r6笔记第28天)

从oracle中ASM的发展来看,到今天的普及使用,应该可以算做一种文化,因为这体现的不仅是ASM技术在实际工作中的成功普及,而且从某种程度来说,都代表了一个新...

381100
来自专栏SDNLAB

多接入边缘计算 – 第2部分:保护MEC的安全挑战

多接入边缘计算(MEC)是一种网络架构,为网络运营商和服务提供商提供云计算能力以及网络边缘的IT服务环境。

10210
来自专栏极乐技术社区

小程序 · 一周报 | 小程序获取用户信息接口优化调整 / 小游戏视频广告发布

18820
来自专栏BestSDK

SDKBOX手游服务接入助手,扫开所有难题成就时代神话

编辑导语 技术不在于多,在于精。SDKBOX手游服务接入方案,让你分分钟搞定几周的工作,正所谓的“一分投入,十分收益”。技术竞争时代,你慢一步,就需要几年的时间...

33490
来自专栏FreeBuf

Twitter的野心:我们终将弃用密码

国外最流行的微博平台Twitter正在策划一项很大胆的项目:试图率先在Twitter上结束我们所习惯的密码时代。 其实,早在一年前,Twitter的高级产品经...

21350

扫码关注云+社区

领取腾讯云代金券