on-line игра
 

Злраствуйте!
Я у Вас тут новенький, так что не обижайте меня сильно :)
У меня такой вопрос, можно ли взломать on-line игру ну или хотя бы зайти под чужим логином?
А именно http://www.mirsofta-game.ru/
Сразу скажу что немогу создать игрока, потому что у админа видно совпадение ip адресов.
Регистрация лёгкая, по этой ссылке:
http://www.mirsofta-game.ru/register.php - Даже e-mail можно вводить любой. После регистрации можно сразу авторизовываться.
--------------------------------------------------------------------
Вот то что я о нём знаю:
1.открыты порты:
21 22 25 53 80 110 143 443 993 995 3128 3306 3307 6667 10001
--------------------------------------------------------------------
2. вот что мне показал xSpider 7
Изначально заданное имя хоста: www.mirsofta-game.ru
Имя хоста
(полученное при обратном DNS запросе): srv1.vline.ru
Время отклика: 195 мсек
TTL: 55
Параметры сканирования
Версия: 7.0 Build 947
Профиль: DefaultOff.prf
-------------------------------------------------------------------
а. Версии протокола 1.33 и 1.5 недостаточно защищены криптографически.
б. Директории доступные для просмотра:
/icons/
в. Некорректный запрос приводит к ошибке сервера:
POST /session_login.cgi HTTP/1.1
Host: www.mirsofta-game.ru:10001
Content-Type: application/x-www-form-urlencoded
Content-Length: 29

page=1&user=%22&pass=1&save=1
-------------------------------------------------------------------
Помогите осуществить давнюю мечту или посоветуйте где рыть....
Заранее спасибо :)
p.s. Да, XSpider на каждом порту сертификаты какие-то нашёл, онивообще для чего нужны?

Хорошо, обижать небудем, но какого хрена ты создал тему невтом разделе?...

Игруха ведь рагатая толк её ломать ???? просто ради увлечения ?

А ты бы не пиз***л сам когдато таким был..... нех флудить пиши если есть что писать по делу !

Я давно писал одному челу ник censore , примерно так, он сказал здесь размещать, так что я тут не при делах

Нет, не ради увлечения. Я же не прошу ломать, я прошу хотя бы посоветовать чё нибудь по данному вопросу.
p.s. Просьба писать по делу как это было сказано выше, если нет не чего по этой теме, лучше вообще не писать :)

Ну чё кто-нибудь поможет?

Там XSS пасивная была: http://mirsofta-game.ru/mail.php?view=write&to=1234567><script>alert(docum ent.cookie)</script>

И активная (была, щас - не знаю) - но я ее так до конца и не доковырял.

Ну а как её можно использовать? :confused:

Проверь - что храниться в куках и храниться ли вообще.
Проверь - какую информацию можно сменить (в настройках), и требуется ли для этого ввод пароля.
Проверь - можно ли перевести вещи, или что-нить купить, или что-нить выкинуть и требуют ли для этого ввод пароля...
Если все Ок, и с активной Xss порядок - то можно проделать разные манипуляции, как-будто это владелец перса и делает.

Ну в куках хранятся:
Пароль в md5
id игрока
мыло
php сессия
Вообщем всё.
В настройках можно сменить всё если ты знаешь пароль, его легко по кукам расшифровать.
переводить, продавать, покупать выкидывать можно всё без пароля.
Только я всё равно не понял как можно использовать xxs для получения чужих куков? :confused: