Ultima modifica:
Buongiorno a tutti!
Tra ieri e oggi ho voluto provare questo nuovo gioco, tra i più popolari nella classifica dell'App Store. Ho deciso fin da subito di testarne la sicurezza, trovando grosse falle che permetterebbero ad un giocatore di ottenere grandi vantaggi. Ne condivido una, ovvero la possibilità di ottenere praticamente monete infinite.
La procedura è semplice, ma è richiesto, come requisito, la conoscenza del proprio access token, ottenibile (per ora) tramite sniffing del traffico dell'app tramite proxy: non sono riuscito ancora infatti a trovare l'algoritmo di generazione del token nel sorgente.
Pertanto, consiglio l'utilizzo di Burp Suite; trovate molte guide cercando su Google. Una volta configurato appositamente il software (niente di più semplice: si tratta di aggiungere un proxy e linkarlo al proprio device) è sufficiente avviare l'applicazine "Nomi cose città" (nel mio caso sul tablet iOS) e aspettare qualche richiesta.
Comparirà una mastodontica lista di richieste (la maggiorparte di esse è pubblicità), voi non dovete far altro che considerare solo quelle che hanno come "Host" l'indirizzo "game.stop-fanatee.com". Nel parametro della richiesta in basso, dovreste trovare il vostro Access-Token:
A questo punto vi collegate all'indirizzo "http://nomicosecittahack.altervista.org" con un browser qualsiasi e compilate il form con i dati richiesti:
Spedite la richiesta premendo INVIO o cliccando sul bottone e, se tutto è andato bene, dovreste ricevere una risposta simile:
La successiva conferma proviene direttamente dall'app:
P.S.: Mi scuso per la grafica demmerda del sito;
P.S.S.: Prima di uscire con "fake! fake!" in vena di rivolta, PROVATE.
P.S.S.S.: Chiunque avesse voglia di aiutarmi a cercare l'algoritmo di generazione del token mi contatti.
Vi ringrazio per la lettura, per qualsiasi dubbio/domanda sono disponibile.
Tra ieri e oggi ho voluto provare questo nuovo gioco, tra i più popolari nella classifica dell'App Store. Ho deciso fin da subito di testarne la sicurezza, trovando grosse falle che permetterebbero ad un giocatore di ottenere grandi vantaggi. Ne condivido una, ovvero la possibilità di ottenere praticamente monete infinite.
La procedura è semplice, ma è richiesto, come requisito, la conoscenza del proprio access token, ottenibile (per ora) tramite sniffing del traffico dell'app tramite proxy: non sono riuscito ancora infatti a trovare l'algoritmo di generazione del token nel sorgente.
Pertanto, consiglio l'utilizzo di Burp Suite; trovate molte guide cercando su Google. Una volta configurato appositamente il software (niente di più semplice: si tratta di aggiungere un proxy e linkarlo al proprio device) è sufficiente avviare l'applicazine "Nomi cose città" (nel mio caso sul tablet iOS) e aspettare qualche richiesta.
Comparirà una mastodontica lista di richieste (la maggiorparte di esse è pubblicità), voi non dovete far altro che considerare solo quelle che hanno come "Host" l'indirizzo "game.stop-fanatee.com". Nel parametro della richiesta in basso, dovreste trovare il vostro Access-Token:
A questo punto vi collegate all'indirizzo "http://nomicosecittahack.altervista.org" con un browser qualsiasi e compilate il form con i dati richiesti:
Spedite la richiesta premendo INVIO o cliccando sul bottone e, se tutto è andato bene, dovreste ricevere una risposta simile:
La successiva conferma proviene direttamente dall'app:
P.S.: Mi scuso per la grafica demmerda del sito;
P.S.S.: Prima di uscire con "fake! fake!" in vena di rivolta, PROVATE.
P.S.S.S.: Chiunque avesse voglia di aiutarmi a cercare l'algoritmo di generazione del token mi contatti.
Vi ringrazio per la lettura, per qualsiasi dubbio/domanda sono disponibile.