破解js层脚本密钥的可行性

Creator 2.x
#21

cocos是开源的，再好的加密方法，也有解密方法，因为进入游戏的时候总要解密，而解密的方法是开源的；
你根本没说你遇到的问题？代码资源被人解包复用了，换皮了？别人用了外挂？
1、代码混淆，资源加密
2、前后端消息加密，服务端做外挂处理

#22

那个加密库自己稍微改下就行 因为没有改 别人只要下载这个加密库用key 就可以直接解出来

1赞
#23

他说了问题，被脱机挂了

#24

客户端自己只要能同时持有 密钥 或者解密算法，就相当于裸奔 只是 破解程度难易而已

#25

呃，，，会增加一点破解难度，让破解者多花几分钟时间

#26

逻辑代码混淆，引擎代码混淆，（要混淆成看似有命名含义其实根本不是这个意思），资源加密，登录动态秘钥+静态秘钥+md5加密，通讯包动态秘钥+静态秘钥+md5加密，等等加密混淆措施下来，保证让破解者掉很多头发 :face_with_hand_over_mouth:

#27

他遇到的问题，本质是服务器没有防外挂机制，跟客户端关联不太大，只要客户端有加解密逻辑，要破也只是你说的增加一点难度而已。

#28

确实，本质在于服务器增加一些机制，客户端再皮其实就是多加点手段来恶心专业破解者。。。

#29

服务器端 怎么做 防外挂? 有什么好办法吗?
我游戏是http 传消息的, 不是socket的

#30

我的问题是 js层被 解密了 就是看到了
js的网络信令部分
外挂作者 做成了 脱机挂, 他的挂运行在 他们的服务器上,直接给游戏服务器发信令
游戏服务器无法判断 这个消息是 客户端发来的 还是 外挂发来了的
因为 外挂完全模拟了 客户端发送的消息!

信令是 HTTP发送的

#31

有没有什么免费的apk加固,能把so文件也给加固了!
现在免费的加固 都不给so文件加固, 就是把java的代码部分给加固了!

#32

科学上网去学习下国外的加密方式，现在腾讯都在举办游戏安全比赛了，招免费的游戏加固方案 :rofl: :rofl:

#33

客户端加密是防不住的，想破解都是时间的问提。
可以给cocos破解增加代价： 混淆C++层的函数名和字符串，特别是文件资源读取和加载的函数。这个位置被找到了，不管什么加密方式都完蛋，hook一下文件都直接读出来了；还有最好把字符都加密处理一下，这也是特征值。

#34

你说的是截了你的消息包，根本不用去破解你的apK，运行你的游戏就可以截了，消息加密也不行的，服务器要做处理判断，比如：每日签到领金币，截了领金币的消息包，模拟一直连续发送，如果你不做处理，金币就会一直增加。但你服务端完全可以做处理啊，服务端调取该玩家今日有没有领过，领过就拒绝呗。

#35

把你apk里面的libcocos2djs.so文件拖出来，用vscode的HEX模式打开，搜索Cocos Game，在附近就直接看到密钥明文了。

#36

违反游戏规则的情况好判断，但楼主说的是外挂正常地模拟客户端消息，比如正常人一天能打怪4小时外挂可以打20小时。在服务器看来就是这个号比较肝而已，其它没有异常。

#37

我说的情况确实好判断，只是让楼主理解，但既然是外挂，就是有区别的。

#38

toddlxt 说的对， 外挂是需要看我JS里关于信令的格式，以及数据意义，然后按这个规则给游戏服务器发消息，也能收到服务器的消息并解析的！就是模拟客户端在玩游戏

#39

这获取密钥如此简单，这个脚本加密 形同虚设啊！

#40

用加密过的so文件 如何再打包呢？
正常编译apk，然后解压 取出 libcocos2djs.so文件
然后 加固libcocos2djs.so这个文件
然后再放到apk里 2次打包，加签名？