wow用了密保卡还被盗，个人分析其原因

大世界小人物

密保卡绑定了帐号，玩儿的时候，突然掉线，显示与服务器断开，之后重新登录，输入密保卡的时候，告诉说密码错误或者是帐号锁定。退出wow，重新登录，第二次再次输入，密保卡的三个位置居然和刚才一模一样，重启机器再上来，能正常登陆，但是发现钱没了，人在暴风银行门口。因为我是法师，炉石没有CD，但是少了我一个传送门符文，因为我之前刚刚买了一组20个，变成19个了，所以肯定是盗号。跟我一起在线的好友说，他看到我先是掉线，然后上来了1-2分钟左右，又掉线了，他没在意，等我第二次再上来跟他说话时，他才反应过来我被盗了。
　　
　　无疑，肯定是有木马，但是咱们大家一起分析一下木马的工作原理吧，用以防范。以下是我的个人分析，有不足之处大家一起讨论。
　　
　　我觉得能写这种木马的人肯定是知道wow通信协议的，通过截获数据包，然后将咱们输入密保卡时候的数据包发送到盗号者那里（这个数据包一定包括用户名，密码，密保卡密码），然后直接从盗号者的机器将数据包发送给服务器，进行登录。而我们玩家这边，他们堵住你向服务器发送请求的方法就是上面为什么我们第二次登陆时候密保卡的三个密码和刚才一模一样，因为他们无法伪造服务器的数据包，数据传输肯定是加密的，所以只能把刚才截获的服务器数据包内容copy到新的数据包中，然而实际上这次服务器要求的三个密保卡密码肯定是不一样的，所以你无论怎么输入都是提示密码错误，无法登陆，因为如果我们能登陆了，就会把他们挤掉线。
　　
　　这个盗号过程最主要的大前提就是，他们必须在我们在线的时候，把人挤掉线，在我们无意识的情况下，重新登录时截获数据包，并且堵住我们这边像服务器发送的请求，好让他们有时间实行盗窃。
　　
　　我们不在线时，他们不可能拿到密保卡的密码，也不可能通过截屏等手段分析密保卡，所以如果大家游戏时无故掉线，一定要慎重，不要轻易再次输入密码就去登陆，一定要重启机器再登陆，或者拔掉网线，过2分钟在登录，这样是为了保险起见，因为木马进程在你重启机器之后肯定reset了，保存的数据可能会丢失，所以他就不能伪造服务器端的数据包来堵住你的请求了。（当然他们只要在硬盘上加一个临时文件就可以破解这一手，可是对于木马来说，临时文件就意味着暴露，这还是一定风险的）
　　
　　这个木马需要木马的服务器端和客户端进行通信，我们刚运行wow时他们木马服务器端会看到你已经登陆，就像qq msn一样看到你上线了。但是这个木马的服务器端肯定是需要人工进行选择是否盗用这个帐户，一般大家从开始运行wow到登录完成，一共估计超不过10秒钟数据包就已经发出了，他们必须在接收到wow服务器的数据包之后和咱们输入完密保卡密码点击确定之前决定是否盗用这个帐号，盗号者的服务器端应该是能看到一大堆帐户，他不可能看到你刚上线一个就立刻决定盗你的号。
　　
　　所以，个人分析结果就是，他们知道wow通信协议规则，在你游戏时伪造你的IP向wow服务器发送一些特殊垃圾数据包，将你挤掉线，强迫你重新登录，此时，你的数据包统统被截获，他们那边运行wow，并且由他们的木马将截获的你的用户名和密码以及密保卡密码转发给服务器，于是盗号成功。
　　
　　此过程可以完全用程序全自动实现，然后交给一个傻瓜用户培训不超过5分钟就可以实现盗号过程，写这个木马的前提就是知道wow服务器通信协议，我觉得9城离职的工程师里面，对于登陆部分，尤其是密保卡通信部分的通信协议了解的工程师肯定不在少数。很可能私下跟某些团伙交流，写了这么一个盗号程序，拿一笔钱走人，然后盗号团伙雇佣民工级别，嘴足够严实的人就可以进行盗号了。
　　
　　
　　
　　以上个人观点，有不足之处欢迎大家指正~~~~
　　
　　
　　PS:在此我无意贬低侮辱九城的工程师，因为完全可能通过大量截获数据包进行破解而得到通信协议，但是，本人也是干程序员这一行的，综合考虑到国内的某些公司管理和薪金待遇，我认为九城出现内奸的可能性比较大

风亽少

虽然我不懂这一行。。。你分析得很有道理。。。

清空湖岸柳

说的还是蛮有道理的....

yxh3386178

说的还是蛮有道理的....

summerhjz

\90\214\0\0