Почему не могу понять, что находится в запросе от клиента к серверу?

Question

[Quolib]

В предыдущем вопросе(вопрос о том, как взаимодействовать с бд игры вручную) мне посоветовали в сниффере посмотреть, куда отправляет клиент запросы и какие, когда я нажимаю на кнопку в игре, выдающую мне нужную инфу. Я так и сделал. Только в запросах ничего не понятно, я в этом всем не шарю, но по-идее там обращение к апи должно быть, которое я могу скопировать и отправить сам для получения данных, мне так же говорили что-то о реверсинге шифрования, я так понял, что я не понимаю данные, потому что они зашифрованы? Как их реверсить то тогда и возможно ли это?

P.s. В целом подключиться к бд игры возможно, такие приложения есть, я правда не знаю каким способом, напрямую сказали не подключиться, пробую через апи, если вариант, описанные выше не возможен, то какие еще варианты могут быть?

Comments

[Moskus]

Вы получили ответ на вопрос, который не задали (как получить доступ к API игры), а на вопрос, который задали, ответ простой: вам критически недостаточно знаний о том, как решается задача, которую вы пытались решить. Это все равно что пятилетний ребенок, который только что научился читать, спросил бы, почему он не может понять, как конкретно его папа-микробиолог создает генно-модифицированные сорта пшеницы, хотя буквы A, G, C, T, U на экране папиного компьютера ему хорошо знакомы.
Не сочтите это за наезд - я всего-навсего пытаюсь вам объяснить размеры пропасти между вашими знаниями и знаниями, которые требуются для решения задач по реверсу шифрованных протоколов обмена данными.

Answer 1

[Alex Marken]

Помню, отвечал тебе на вопрос по БД))
Информация зашифрована. В теории расшифровать можно, но необходимо узнать метод шифрования, а потом подобрать ключ. Для этого требуются огромные мощности железа и очень много времени (в зависимости от длины и словаря ключа).

Какие ещё варианты? Никакие, если игра не предоставляет открытый API (у неё частный). Информация зашифрована, стоят многочисленные проверки на доступ к серверу, SQL инъекции тоже исключены (скорее всего). Если начнёшь и дальше сервак ломать, разработчики поймут по логам, что ты хочешь натворить и закроют дыры.

Мне интересно, что ты хочешь в итоге получить?

Comments

[Quolib]

Я хочу получить информацию о игроке, есть моб. игра, в ней у игроков есть хештеги, я хочу получить инфу по хештегу, так собственно и работают приложения другие, вводишь хештег и вот инфа, я ещё не представляю , как это будет работать, но в целом я хочу вывести на экран своего компа например ник игрока по хештегу) Спасибо , что всегда отвечаете?

[Alex Marken]

Quolib, теперь понятно) Всё равно, вся проблема упирается в доступность функций. Тут вынужден Вас огорчить)

[Quolib]

@AlexMarke я бы успокоился, но блин не пойму, это же возможно, вот и пытаюсь понять, где я нафейлил

[Alex Marken]

Quolib, если приложение общается по своему API, это ещё не значит, что есть возможность стороннего проникновения.

Окей, допустим Вы сейчас найдёте возможность получения информации об игроке. Но если потребуются дополнительные функции, к которым доступ не будет? Идея "ляжет". Разработчики игры проанализируют логи и поймут, что к их сервису подключатся из других источников) Проведут работы на уровне backend и приложения - тут снова Ваша идея "ляжет".

[Quolib]

Alex Marken, я все это понимаю, и не спорю с вами в техническом смысле, но факт в том, что в соц.сете ВК есть приложения, которые выдают инфу по хештегу, это до сих пор не закрыли, работает два года, вроде как разработчики в курсе, но то не хотят/или не могут убрать. Я вот все пытаюсь понять, как.

[Alex Marken]

но то не хотят/или не могут убрать

Это не причина. Quolib, у VK для такого случая есть отдельный открытый API. А этот метод как раз из публичного API. В идеале, у закрытого API нельзя вообще получить его запросы

[Quolib]

Alex Marken, ничего не понял, то есть сделать это можно только через ВК?

[Alex Marken]

Quolib, нет :) Я привёл пример, что у ВК есть уровни доступа. У любого ресурса, программы есть уровень доступа. Если ресурс позволяет проводить какие-то расширенные манипуляции в сторонних программах, значит всё ок. В противном случае, получить доступ можно только с разрешения разработчиков или с помощью взлома.

У того же ВК, для получения полного доступа к открытому API, необходимо регистрировать свой сервис, где будет выдан ключ доступа к API.

[Quolib]

Alex Marken, это я вроде понял, но как это приложения в целом работают, не представляете? Как они все таки берут инфу нужную, если ничего не подходит их выше сказанного? ВК не даёт такой возможности, потому что есть так же сайты, на которых можно смотреть статистику игока по хештегу

[Quolib]

Alex Marken, извините, что надоедаю.

[Alex Marken]

Quolib, как раз являюсь разработчиком, работаю в совокупности с БД, backend и мобильными приложениями) Подробно рассказать могу, как это работает. Но это дело не 10-30 строк. В интернете полно принципов взаимодействия приложения с сервером (достаточно на Хабр зайти).

Есть варианты использования уровня доступа API в сервисах:
1. Полностью закрытый. В этом случае к API может обращаться только официальное клиентское приложение (от того же разработчика).
2. Открытый API. Доступ к некоторым методам API разрешён любым клиентам (возможно требуется разрешение разработчика).
3. Полностью открытый API. Когда весь сервис у тебя, как на ладони.

В данный момент речь идёт о первом варианте.

Как они все таки берут инфу нужную, если ничего не подходит их выше сказанного?

Берут из официальной документации сервиса. В этом случае 2-3 типы доступа.

[Quolib]

Alex Marken, ну так я и не пытаюсь "взломать", мне бы хотя бы понять, как берут из официальной документации. Спасибо Вам большое, что тратите столько времени) если надоел, то скажите, я все понимаю)

[Alex Marken]

Quolib, мне показалось обратное - взломать хотите :D Документация, обычно, в соответствующих разделах ("Для разработчиков", "Документация" и тп)

[Quolib]

Alex Marken, я пытался понять, как работают эти приложения, параллельно узнавая о игре, так получилось, что это выглядело как попытка взлома. Спасибо, попробую поискать, и что там в документации будет, если например информация о игроке по хештегу официальная, типа будет написано, как ее получить, куда запрос отправить, или вообще будет список тегов с инфой о них.

[Alex Marken]

Quolib, давайте)

[Quolib]

Alex Marken, я не могу не выразить Вам свою признательность, я такой идиот, разработчики сами создали публичный апи, поэтому он не банится...тупо ввел в гугле запрос и увидел,просто не ожидал такой приятной подставы, без Вас бы продолжал трафик слушать.

[Евгений]

Quolib, Alex Marken, это как про инструкцию по эксплуатации:
страница 1 - "Ну что, сломал?" xD