2

La pregunta va relacionada a cómo controlar aquellas extensiones web que inyectan código javascript a una página web en concreto... Ejm...

Yo tengo una web creada en Html5, a esta página(la mía) yo le he añadido un pequeño juego de monedas para hacerla más interactiva, lo que pasa es que algunos usuarios se han creado una extensión para google chrome que inyecta código js en mi web y de esa forma hacen trampa en dicho juego por así decirlo....

¿Alguna respuesta de orientación?, se les agradece mucho.

10
  • Sin ver código, lo único que te puedo decir es que lleves todo lo "sensible" en el servidor, osea, los calculos para acertar, el incrementar decrementar monedas, y que el cliente sea un terminal tonto, solo pinte lo que el servidor le diga. De este modo, evitas que puedan, en primer lugar como son las funciones que calculan el tiro,.etc. y que con js no puedan hacer gran cosa. También te recomendaría cambiar el calculo que tengas ahora para acertar, para evitar que el plugin que hayan echo siga funcionando Commented el 26 jul. 2017 a las 9:04
  • Muchisimasss gracias, lo tendré muy en cuenta, a ver si con el método Ajax pueda solucionarlo... De nuevo gracias por la respuesta :,D Commented el 26 jul. 2017 a las 9:09
  • Si lo haces con ajax estarás en una situación similar, el código js esta en el cliente, si es alguien que sabe un poco verá como haces la petición ajax al servidor y se puede "replicar" intentando aprovechar fallos. Sinceramente creo que es mejor que descartes lógica importante en js. Commented el 26 jul. 2017 a las 9:20
  • Disculpa me equivoque no quise decir metodo Ajax, estaba pensando en otro lio aparte... Lo que quise decir es que espero solucionarlo usando un framework como NodeJs... ¿Crees que es una buena idea ? Commented el 26 jul. 2017 a las 9:34
  • Si, podría ser una buena opción. Commented el 26 jul. 2017 a las 10:05

1 respuesta 1

2

El código JS se ejecuta en el navegador del cliente, por lo que poco o nada se puede hacer. La única opción que tienes es que cada X tiempo mediante JavaScript (Ajax o WebSockets) mandes algo al servidor y el servidor lleve un control de los progresos de dicho usuario.

En el caso que comentas de un algoritmo de tiro pongamos de ejemplo como valores internos: velocidad del viento, dirección del viento y situación del objetivo. El usuario realmente tiene dos variables: ángulo y fuerza.

Para evitar tener tódo tu código del cálculo expuesto en la parte del cliente mediante JavaScript te recomendaría que el servidor calculase los valores internos y los almacenase en una base de datos, fichero o similar asignándo un código a los mismos, por ejemplo el ID:27. El servidor devolvería vía Ajax al cliente JavaScript este ID además de una imagen en la que aparezca una flecha para la dirección del viento, una barra para la fuerza, y el punto de objetivo. Todo ello en una imagen, por lo que así no se le da al cliente ninguna pista de valores numéricos para calcular nada.

Una vez el cliente "dispare" se envíar vía Ajax al servidor el ID interno de los parámetros que se han calculado para esa pantalla (ID:27) además de los parámetros de usuario de fuerza y ángulo.

En el servidor se recuperaría mediante el ID:27 los parámetros internos, se tomarían los parámetros de usuario y se calcularía si acierta o no. El servidor devolvería un 0=fallo, o un 1=ok para hacer alguna animación en el cliente (al gusto) y marcaría en la base de datos el ID:27 como utilizado.

De esta manera ni expones tu código de tiro, ni le das pistas matemáticas al usuario, ya que estaría trabajando con una imagen sin datos numéricos.

6
  • El juego consiste en lanzar una moneda por un agujero pero tiene su dificultad, ya que para hacer un tiro preciso se tiene que tener en cuenta el angulo de lanzamiento de la moneda, el viento(eso puede afectar la trayectoria de la moneda) la distancia y la fuerza... Si aciertas ganas puntos... Ahora, los usuarios para hacer trampa han creado una extensión para chrome que inyecta código js a mi pagina web y así obtener las medidas precisas o sea la extensión le marca la fuerza precisa de lanzamiento con el cual hacen un tiro preciso. Commented el 26 jul. 2017 a las 8:53
  • Todo eso si lo hacen en la parte cliente no hay solución sencilla. En tu caso, te sugeriría q esos parámetros q utiliza la función JS q utilizan ellos (viento, distancia y demás), q son parámetros q tu le ofreces al usuario para q calcule como tiene q tirar, los generara el servidor aleatoriamente y q se los mostrases al cliente en formato gráfico con una barra o similar de forma q ya no tendrán una base matemática q tomar para sus cálculos. Obviamente al generar automáticamente esos datos tendrás q ofrecer un código al JS y luego procesar ese código+angulo+fuerza para calcular el éxito o no.
    – NetVicious
    Commented el 27 jul. 2017 a las 14:25
  • Y ahí esta el problema que cuando lo añado al js el algoritmo de tiro queda expuesto del lado del cliente, pero como dices tu, debo hacerlo del lado del servidor, pero, peroo, encontre otro post en esta pagina que me hizo notar algo, por ejm, pongo mi javascript (donde esta mi algoritmo de tiro) del lado del servidor con nodejs luego al momento de intercambiar datos json entre servidor y el cliente los parámetros de tiro de nuevo quedaran expuestos del lado del cliente al refrescar la pagina. Commented el 28 jul. 2017 a las 8:24
  • Provocando que el atacante obtenga mi javascript y lo meta en su extensión web para luego modificarla e inyectármela de nuevo como le sucedió a esta chica ...¿o me equivoco ?es.stackoverflow.com/questions/90915/… Commented el 28 jul. 2017 a las 8:25
  • Edito mi respuesta que así puedo escribir más que en un comentario.
    – NetVicious
    Commented el 28 jul. 2017 a las 8:30

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.