多玩英雄联盟盒子可绑定任意lol角色
多玩英雄联盟盒子可绑定任意lol角色,可选择被绑定的YY号是多少以及可绑定任意数量lol角色,可强行绑定已经绑定过的角色.
详细说明：
说下简单思路.大神勿喷.
最近打lol,突然发现多玩盒子可以绑定对应的lol角色在YY上显示,于是想有没有办法绑定其他战力高的大神角色,于是开始尝试.
开始先点击绑定然后抓包,看发包,发现是经过加密后的数据.
POST /api_bind_yy_new.php HTTP/1.1
User-Agent: YYBind
Accept: */*
Content-Length: 190
Content-Type: application/x-www-form-urlencoded
str=1DF92E294BACA9AAD628AB2D28AB13AFA92E344E2B484F2E40314EAD2CC9E11709EFF6EE576E2F71EFEEFF6FC991904EEFE4EFA74E98FAF3POST /api_bind_yy_new.php HTTP/1.1
于是拖进OD分析,
分析得到的程序绑定流程如下:
1。LOLBox.exe先读取Tool.ini里面存的角色数据(登陆过游戏的都有保存在里面)
2。通过程序解码拼接字符串后,得到需要发送的内容
{&角色名&:{&global&:{&sn&:&服务器名字&,&pn&:&角色名&,&lat&:&&,&level&:14,&icon&:26,&good&:&18&,&blocked&:&4&,&honor&:&1&,&save_hero_100&:&0&,&cache&:1},&normal&:{&sn&:&服务器等名字&,&pn&:&角色名&,&clat&:&&,&olat&:&0&,&w&:19,&lo&:11,&le&:0,&o_w&:&0&,&o_lo&:&0&,&o_le&:&0&,&cache&:1},&zdl&:{&eloScore&:1549,&winRatioScore&:879,&winBattleScore&:52,&totalScore&:2480,&originalWinRatio&:63.33,&elo&:&0&,&winRatio&:63.33,&wins&:19,&updatedTime&:,&cache&:1},&mostUsedHeros&:{&Lux&:10,&Veigar&:4,&FiddleSticks&:4,&Twitch&:3,&Ashe&:2}}} e&:2}}}
看代码大概就明白了.我们只需要更改具体的角色名和服务器名字就可以达到绑定其他角色的目的了,其中服务器名字和角色名字如果是中文的话需要转码例如:\u\u5341\u56db
3。程序会把上面的字符串进行加密处理.加密成以下格式:
2E294BACA9AAD6AB2D28AB13AFA92E344E484F2E40314EAD2CC9E11709EFF6EE576E1EFEEF72F2F6FC991904EEFE4EFE98FAF8865C78D
然后创建进程,参数为:
x:\LOLBox\YYBind.exe &YYBind& &上面的加密字串&
4.然后YYBind.exe运行,我们可以看到我们修改后的角色信息,然后点绑定,如果角色被别人绑定过,这里会提示绑定已经被绑定,通过修改某个跳转绕过.这样我们就绑定成功了.
后记,曾经微博问了下作者,他说这个不算BUG算..好吧.我承认也许这个没什么大危害,
但是用户量多大的,再加上我也经常用,也希望产品能越做越好
大概就这样吧.
后来尝试吧角色名字改为&img&&/img&或者xss语句,发现能解析,但是在YY里面不能弹窗,其他的未仔细测试.
其实我觉得危害主要在于可能造成XSS存储,和可以批量绑定lol角色,要是把所有lol玩家角色全部绑定到一个YY上..别人盒子上会显示对应的YY号.
如果把YY号改为XSS语句会怎么样.未测试,因为貌似解除绑定要复杂点.
修复方案：
。.你们比我懂.
建议有些验证或者判断放在服务器端
您对本文章有什么意见或着疑问吗？请到您的关注和建议是我们前行的参考和动力&&
您的浏览器不支持嵌入式框架，或者当前配置为不显示嵌入式框架。后使用快捷导航没有帐号？
查看: 76|回复: 2
新人欢迎积分1 阅读权限20积分22精华0UID帖子金钱295 威望0
Lv.2, 积分 22, 距离下一级还需 28 积分
UID帖子威望0 多玩草0 草元宝
00:42:30 上传
不管点多少次，就是失败，稍后再试，是不是要试一辈子，我读书少，不要骗我
飞翔的蚱蜢
新人欢迎积分1 阅读权限20积分22精华0UID帖子金钱295 威望0
Lv.2, 积分 22, 距离下一级还需 28 积分
UID帖子威望0 多玩草0 草元宝
先把沙发占了
新人欢迎积分1 阅读权限50积分1668精华0UID帖子金钱7802 威望0
Lv.5, 积分 1668, 距离下一级还需 832 积分
UID帖子威望0 多玩草0 草元宝
被人绑了，要不就是刚给这个解绑重新绑，要等。
&我也是这样啊
好像我大号绑定以前的论坛ID了
现在绑这个ID就绑不了啊
求解怎么弄&
需要金钱：1100
Powered by
手机盒子客户端点击或扫描下载后使用快捷导航没有帐号？
查看: 5249|回复: 3
新人欢迎积分1 阅读权限30积分152精华0UID帖子金钱320 威望0
Lv.3, 积分 152, 距离下一级还需 98 积分
UID帖子威望0 多玩草0 草元宝
& && && && && & 求助阿. 为什么手机上的迷你盒子无法绑定角色呢？ 明明我的大区和名字都是正确的! 说什么& &&用户名必须于电脑端盒子完全一致（字母大小写。特殊符号）且战斗力大于0.&&我的游戏名称是用二维码扫描的不可能错阿!&&求解阿
新人欢迎积分1 阅读权限0积分1745精华0UID帖子金钱3395 威望0
头像被屏蔽
UID帖子威望0 多玩草0 草元宝
提示: 作者被禁止或删除 内容自动屏蔽
新人欢迎积分1 阅读权限20积分30精华0UID帖子金钱95 威望0
Lv.2, 积分 30, 距离下一级还需 20 积分
UID帖子威望0 多玩草0 草元宝
-------------茫然-------------没用过。
新人欢迎积分0 阅读权限50积分2017精华0UID帖子金钱2599 威望0
Lv.5, 积分 2017, 距离下一级还需 483 积分
UID帖子威望0 多玩草0 草元宝
向他娘的LV5前进。开炮！！
LOL战斗力9000以上
需要金钱：1100
Powered by
手机盒子客户端点击或扫描下载}