MIRACULUS

Прежде всего хочется особо подчеркнуть, что абсолютно все взломы происходят по собственной вине владельца персонажа. Принципиально невозможно «взломать игру» отправкой на сервер каких-либо команд, писем, использованием программ и прочими плясками с бубном. Задайте себе вопрос – почему «гениальный хакер» не взломает тогда персонажей Администрации, сам ходит голышом и с низким боевым уровнем?

Понимаю, что неокрепший детский разум всегда хочет халявы и до последнего будет верить обещаниям волшебным образом улучшить параметры персонажа, получить раритеты по дешевке или стопицот тыщ бриллиантов, что ему единственному по секрету скажут пароль от рулетки и т.п. Какое то количество наивных лохов будет всегда, поэтому с этим можно смириться - этот топ адресован вовсе не им, а думающей части игроков. Ниже по тексту приведены наиболее часто встречающиеся способы угона персонажа, однако все описать невозможно. Помните, лучшая защита - это собственная бдительность и осторожность!

Так или иначе все методы угона можно разделить на два типа:
1. Вас заверяют сообщить пароль взамен каких-либо благ. Пароль по сути передается добровольно.
2. Злоумышленник получает пароль от персонажа скрыто, жертва узнает о случившемся только оказавшись в блоке.

1.1. Схема «скажи мне пароль, я зайду и начислю тебе Х ресурсов». Не введитесь – даже если персонажа вам вернут с извинениями «не получилось, позже попробую еще раз» (когда у вас будет больше ресурсов), то блок вы все равно получите – за передачу пароля.
1.2. Схема «давай меняться персонажами». Тут как правило обещают дать более крутого или богатого персонажа. Предлогов множество (у меня их много, мне у твоего ник нравится и т.д.), смысл один – получить пароль от вашего.
1.3. «Куплю персонажа за реал» - почти тоже самое, что и 1.2. Чаще всего такие предложения идут от персонажей низких уровней под предлогом, что основного заблокировали.
1.4. «Качаю персонажей». Предлагается передать пароль, что бы вашего персонажа устраивали на работу или воевали, когда вас нет у компьютера.
1.5. Жертва получает письмо якобы от представителя Администрации, где вас просят написать пароль. Объяснений тому может быть множество – от «краха» базы игроков и восстановительными работами, до обвинений в нарушении правил. Либо от лица Администрации предлагают сдать деньги на какой-либо конкурс или турнир. Запомните – Администрация никогда не попросит у вас пароль и не занимается рассылкой в личную почту игроков, все подобные письма на 100% являются мошенническими. Официальных лиц можно опознать, только если они состоят в клане, где название начинается на «HWM» (гордая надпись в инфе «я-администратор» не в счет).
2. Воровство пароля через отправку email на адрес взломщика. Суть – убедить жертву отправить злоумышленнику письмо с своими паролем, замаскировав это письмо под техническую команду для сервера. Например, из последнего:

Я около года искали способ взломать игру heroeswm
Были способы, но всвязи с тем что клиент игры часто обновляют, взлом стал практически невозможен из за того что над защитой игры очень тщательно и упорно работают далеко не глупые головы. Но спустя год появились вот какие сведенья:Создателями игры была создана база для резервного хранения всех аккаунтов 8 уровня и выше на случай чп, так как персонажей ниже уровнем часто бросают их сохранять не имеет смысла.
На адресе бла-бла-бла@mail.ru (пишется адрес, похожий на игровой) установлен робот по восстановлению аккаунтов, который автоматический восстанавливает аккаунты при критическом сбое на сервере. На нем содержиться вся информация о персонажах: опыт, уровень, вещи, ресурсы...
Что бы получить с него нужную нам информацию, пишем письмо со вложенным в него скриптом.(Обязательно ваш аккаунт должен находиться в этой базе)

Тема письма: «Восстановление аккаунта»
Само письмо должно выглядеть так.

}
add awards$ := "сюда пишем ваш ЛОГИН"
add nik_name := "сюда пишем ваш НИК"
-}
pass$ :="сюда пишем свой пароль" (что бы приступить к процедуре восстановления вашего аккаунта")
pass := oadpwlfile(awards\\\\password\\\\\\\'id\\\'.pwl)
to change {pass := "сюда пишем новый пароль"}
q1 := loadfile(/xml/decors.php?mode=awards&uid)
Тема письма: «Восстановление аккаунта»
Само письмо должно выглядеть так.

}
add awards$ := "сюда пишем ваш ЛОГИН"
add nik_name := "сюда пишем ваш НИК"
-}
pass$ :="сюда пишем свой пароль" (что бы приступить к процедуре восстановления вашего аккаунта")
pass := oadpwlfile(awards\\\\password\\\\\\\'id\\\'.pwl)
to change {pass := "сюда пишем новый пароль"}
q1 := loadfile(/xml/decors.php?mode=awards&uid)
Begin
writeln (vzlom);
function backpassword(id,pass,q1,q2,i,k)
if id= true and pass##=loadpwlfile(awards\\\\password\\\\\\\'id$\\\'.pwl)
then
if q1 = true support
end if
end fuction

Текст «секретного метода» может меняться, умные буквы в теле «чудо скрипта» - тоже. Смысл один - взломщик узнает ваш пароль, просто прочитав его в отправленном ему вами же письме.

2.1. Кража пароля через взлом персонального email. Запомните – никому и никогда не говорите email, к которому привязан персонаж. Заведите для игры отдельное мыло и нигде его не светите. Используйте нестандартный секретный вопрос для email и сложный пароль к нему. Дело в том, что служба поддержки бесплатных почтовых служб часто выдает пароли, не потрудившись удостовериться в правдивости запроса – принимая на веру слезное письмо о плохой памяти с указанием некоторых личных данных, которые взломщик знает о вас.
2.2. Кража пароля от персонажа через кражу пароля от других ресурсов.
Используйте везде разные пароли, будь то пароль от персонажа, от email или icq. Если тяжело или лень запоминать кучу разных паролей – просто меняйте в нем один из символов. Кроме того, возьмите за правило не использовать нигде в другом месте такой же пароль, как от игрового персонажа – будь то клановый сайт и даже Геройская лента. Прецеденты со взломом клановых сайтов уже были.
2.3. Использование форм автозаполнения в браузере. Игра из клубов и с чужих компьютеров.
Не рекомендуется использовать автозапоминалки форм ввода - пароля из них воруются крайне легко. При игре с чужого компьютера, уходя необходимо удалять cookies и следить, что бы на компьютере не было установлено кейлоггеров - запоминалок того, что вводится на клавиатуре. Заканчивая игру, как минимум нажимайте на выход, а не просто закрывайте окно с игрой.
2.4. Кража пароля через якобы <полезные> скрипты, ботов, калькуляторов и т.п. приложений.
Иногда под видом добавления каких-либо ништяков, вам предлагают скачать и установить программу или скрипт. Напоминаю вам, что для игры НЕТ официальных клиентов, скриптов, справочников и прочей "полезной" муры. Скачивая и устанавливая на свой компьютер такие приложения, вы рискуете потерять имущество или даже всего персонажа. Администрация игры не несет ответственности за последствия использования таких программ.
Кроме того - запрещено использовать ПО, эмулирующее в любом виде присутствие игрока в игре или нарушающее нормальное функционирование серверного ПО.
На данный момент разрешен только клиент персонажа DeMoN-MAX, скрипты персонажа LazyGreg и xo4yxa. Причем подчеркиваю, что относительно безопасной считается продукция ТОЛЬКО от первоисточников (авторов DeMoN-MAX, LazyGreg, xo4yxa - подробности в их инфе). Уже были прецеденты выдачи троянов под видом работ этих игроков.
Кроме того, важно понимать, что Администрация регулярно проводит чистки против средств автоматической игры. Т.о. если после запуска такой программы, ничего на первый взгляд плохого и не произошло - это вовсе НЕ значит, что вы уже НЕ потеряли свой пароль или НЕ попались на автоматике. Поверьте - персонажа вы так или иначе потеряете, пусть и не сразу. Восстановление в таких случаях не производится.
2.5. Кража пароля через сайты, обещающие халяву.
Встречаются случаи, когда персонажу предлагается перейти на посторонний сайт, где за обещаниями начислить ресурсы или увеличить игровые параметры персонажа предлагается ввести логин и пароль от персонажа. Чаще всего такие сайты сделаны на коленке и имеют несколько кнопок <дать> и поле ввода для пароля. После нажатия на такие кнопки разумеется вы ничего не получаете, а лишь отправляете свой пароль взломщику. Кстати, часто в таких случаях персонажи взламываются не сразу, а при накоплении злоумышленником определенного числа жертв. Поэтому опять же, если после посещения такого сайта ничего плохого на первый взгляд и не произошло - не обольщайтесь, вас взломают - 100%. Восстановление в таких случаях не производится.

Запрещено использовать дополнительных персонажей для тестирования вышеперечисленных способов. Отдавая пароль от своего мульта злоумышленнику, вы становитесь его соучастником. В таких случаях навсегда блокируется и основной персонаж.

Инструкции для взломанных тут:
http://www.heroeswm.ru/forum_messages.php?tid=330578