PCon全球产品创新大会最新日程上线,这里直达 了解详情
写点什么

完全低估黑客的攻击手段,这家新游还没开服就遭受有预谋的攻击

  • 2021 年 9 月 14 日
  • 本文字数:1695 字

    阅读完需:约 6 分钟

完全低估黑客的攻击手段,这家新游还没开服就遭受有预谋的攻击

按照计划,一个月前的 8 月 19 日是国产游戏《半盏复古行》(以下简称“半盏”)的上线日期,该游戏由广州只玩科技有限公司(以下简称“只玩科技”)代理,但让只玩科技始料不及的是,游戏还未开服便遭到了有组织、有预谋的黑客攻击。


根据官方在 TapTap 社区发布的公告描述,从 18 号晚上开始,半盏就遭遇了黑客攻击。这些黑客用八十万个游客账号同时登录、扫描服务器接口等其他不同的手段,对服务器进行攻击。从 19 号凌晨开始,全体技术人员上阵,抵抗了一波又一波攻击。直到 20 日的 01:55,在腾讯安全团队的帮助下,只玩科技升级了安全策略,才算是真正防住了攻击。20 日晚上,才最终保证游戏稳定运行,顺利开服上线。


InfoQ 从只玩科技方面进一步了解到,在游戏上线之前,只玩科技有对一些常规的攻击做事前准备,包括做 IP 的黑名单、异常操作的限制、登录限制,同时也加大了服务器的集群,也备好了空的服务器以随时部署。但这次他们低估了黑客的攻击手段和准备的充分程度,因为这些防护也无法完全防备。


据悉,这次黑客针对半盏的攻击手法主要是 CC 攻击(Challenge Collapsar Attack,CC),这是一种是针对 Web 服务器或应用程序的攻击,利用获取信息的标准的 GET/POST 请求,如请求涉及数据库操作的 URI(Universal Resource Identifier)或其他消耗系统资源的 URI,造成服务器资源耗尽,无法响应正常请求。


而最令人“头痛”的是,黑客准备了大量的“正常用户”,无论是 IP 还是一些帐号注册情况都是跟正常用户没太大区别,难以区分。


在接到只玩科技方面的求助后,腾讯安全加入了这次防御战。腾讯云游戏行业高级架构师王睿指出,这次攻击的确与很多新游戏上线所遭受的常见的DDoS攻击(分布式拒绝服务)有所不同,对方不是用大量的没有意义的流量去“打爆”带宽,而是从应用层面去模拟真实的玩家,然后向服务器发送请求。打个比方,游戏方的服务器当天准备了 10 万人的资源,但是事实上有几百万甚至上千万玩家同时去向服务器发送请求,而且那些玩家发送的请求其实不全是正常玩家发送的请求,而是会访问一些正常玩家很少访问到的接口,导致服务器资源占用量超过 100%。


王睿首先跟只玩科技的相关负责人沟通和判断攻击类型,匹配相应的安全产品(WAF产品),继而找到产品的相关同事加入,一同协作只玩科技去过滤正常玩家的流量、抓攻击的流量,再通过攻击的流量来分析用什么样的策略应对。


据悉,为了这次的防御战,腾讯方面组建了近 20 人的临时团队来协作。


“但攻击还是一直在持续,因为游戏之前封测的时候,部分服务器 IP 被暴露了,攻击绕过了防火墙直接打到真实的服务器上。”由于情况比较紧急,王睿建议只玩科技更换真实服务器的 IP,这样攻击的流量就打不过来,后面建议在整个架构上做一个收敛——真实的服务器的 IP 不要对外,要收敛到防火墙后面,这样一来攻击就无法绕过防火墙。


这场历时 30 多个小时的拉锯战,对只玩科技来说无疑是一次惊心动魄的战斗,但也是中小型游戏厂商面临的共同安全问题的缩影:长期的游戏研发、有限的资金投入、不完善的安全防御意识和体系,让不少游戏在开服阶段就遭遇黑产攻击勒索。委曲求全还是宁为玉碎坚持抗争,始终是个不易的选择。


对于中小游戏厂商在安全防护上的建议,王睿表示,如果在运维或者开发的过程,能有意识地去避免,比如做一些防御式编程,以及在运维部署的过程做一些最小权限的管理,做各种控制权限的事情,防止自己不必要的暴露,这些都是可以做到且不用花钱。“我认为作为游戏从业者,把经历放在内容制作上,当然是本职工作也是最重要的工作,但是做游戏内容的同时也要有安全防御的思想,无论是在开发还是部署运维的过程中,这样会给自己的公司省一大笔钱。”


游戏安全始终是一场没有终结的战斗。“不管游戏怎么发展,各行各业怎么发展,只要有利益在的地方一定就会有黑客盯着,因为这里面有获利的点。”腾讯安全产品研发总监董文辉亦建议,游戏厂商不仅要看未来,更要关注当下,因为防御是动态的,攻防也是动态的。需要在研发和运营阶段打下基础的安全能力,并建立起防御体系,配套一些开发安全规范和安全运维规范,就可以解决不少的问题。


《半盏复古行》在 TapTap 社区所记录的反黑进度: https://www.taptap.com/topic/19043033

2021 年 9 月 14 日 16:091967
用户头像
罗燕珊 InfoQ中文站编辑

发布了 199 篇内容, 共 73.6 次阅读, 收获喜欢 368 次。

关注

评论 2 条评论

发布
用户头像
现在好多腾讯云的软文
2021 年 09 月 15 日 09:51
回复
用户头像
部分服务器 IP 被暴露了,攻击绕过了防火墙直接打到真实的服务器上。小朋友开的公司吗!??? 80w个正常注册账号, ip还是不尽相同的, 这操作 我不信
2021 年 09 月 15 日 08:57
回复
没有更多了
发现更多内容

来自小姐姐的灵魂拷问:位运算是什么?

前端森林

计算机网络 位运算 React 二进制

低碳数字城市和区块链:城市-社区-家庭

CECBC

网络/JVM/MySQL/Spring都答得含糊不清,美团Java面试我不失败谁失败?

Crud的程序员

Java 架构 编程语言 JVM 网络

我是一个请求,我该何去何从

华为云开发者社区

CSE 请求 条件 Verticle Route

「免费开源」基于Vue和Quasar的前端SPA项目crudapi后台管理系统实战之文件上传(十)

crudapi

Vue crudapi quasar SPA 文件上传

消息中间件:为什么我们选择 RocketMQ

阿里巴巴云原生

缓存的世界 Redis(三)

卢卡多多

redis 6月日更

对于后端服务器,框架是怎样的?处理事务的逻辑是怎样的?你了解多少?

奔着腾讯去

c++ io 服务器 信号机制 事件

索信达控股首席科学家张磊:人工智能在银行业的应用

索信达控股

大数据 金融科技 银行 银行数字化转型

最经典的Java面试真题100道:Java+Redis+数据库+解决方案+分布式..

Crud的程序员

Java 编程 架构 编程语言

PornNet:色情视频内容识别网络

百度Geek说

云计算 大数据 后端 图像识别

高可用 | Xenon:后 MHA 时代的选择

RadonDB开源社区

MySQL 高可用 Xenon

从Linux零基础小白到Linux云计算架构师的成长之路!

学神来啦

Linux 运维 运维自动化

喜讯 | 拍乐云荣膺「全球云计算大会“云鼎奖”」,先进技术受业界肯定

拍乐云Pano

和12岁小同志搞创客开发:两个控制器之间如何实现通信?

不脱发的程序猿

DIY 单片机 创客 Arduino

大数据分析与运营(三)

soho

问题定位 | XtraBackup 8.0 数据重建避坑事件始末

RadonDB开源社区

MySQL Xenon XtraBackup

2021年5月券商App行情刷新及交易体验评测报告

博睿数据

博睿数据 券商App 性能评测

央行约谈!支付宝发布公告:打击虚拟货币交易!

CECBC

通俗易懂的redis发布订阅原理实现!

我是阿沐

面试 消息队列 redis cluster

解Bug之路-ZooKeeper集群拒绝服务

无毁的湖光

Java zookeeper dubbo

Java高级架构师最新一千道大厂面试真题文字+视频+脑图解析

Java架构追梦

阿里巴巴:消息中间件,为什么我们选择 RocketMQ

互联网架构师小马

阿里巴巴 RocketMQ 消息队列

5月新品速递:EdgeBoard车型识别软硬一体方案,轻松实现智慧车辆管理

百度大脑

5月盘点 上新

「网络安全入门」什么是网络安全

网络安全学海

搭建工具提升DDD开发效率

中原银行

领域驱动设计 DDD 中原银行

[译] R8 优化:类常量操作

Antway

6月日更

HTAP | MySQL 到 ClickHouse 的高速公路

RadonDB开源社区

MySQL Clickhouse Xenon

从零开始学习3D可视化之拾取

森友小锘

大前端 可视化 3D 3D可视化 数字孪生

区块链技术用在影视行业,能保证编剧们不再被抄袭被欠薪吗?

CECBC

AI未来 - 李开复 - 未来8成的工作受影响 - 读后感-John 易筋 ARTS 打卡 Week 52

John(易筋)

ARTS 打卡计划

ShadowRealm 与微前端沙箱

ShadowRealm 与微前端沙箱

完全低估黑客的攻击手段,这家新游还没开服就遭受有预谋的攻击-InfoQ