[历史] 升级盛大通行证出现重大安全漏洞，部分玩家ID不保随时可被抢注信息

hirro

本来不想发帖的，实在被这SB公司搞到不行，撇开游戏问题不说，来看看这次升级成通行证的问题，但愿在我们新生成为最SB的试验品后，峡谷、圣域和田园的同学们能提早防范（说真的，要怎么防我也不知道）

1：升级成通行证后，但凡知道任何ID的ID和密码，不需要知道任何身份证、邮箱只要登陆商城首次充值，就可以把ID的资料包括邮箱、身份证全部改掉，我的意思是全部，包括秘密问答、手机号码等等全部资料。

意思就是说，也许我知道猫头的号，我可以花1块钱把她的资料全部改掉，也许还能让她度过几年愉快的防沉迷时间，虽然只有一次机会，但是被抢注就非常麻烦。还好新生著名的官方ID“RO系列”有人说上不了了，不然要是能上，这个几乎全服务器人都知道的全转生98级职业大概20来个系列号，可以花个20来块钱全部变成自己的，那多欢乐。

2：关于密码找回，只要知道对方ID的一些基本资料，哪怕是对方的手机或者靠猜对方邮箱等，就可以靠拼凑资料来骗过那所谓0-8天的人工认证，或者知道某个ID曾经使用过的密码（也许你是朋友的，也许你有其他办法知道），列举曾经用过的密码你就能找到现在的密码，更不要说邮箱认证和手机认证了，因为不是电脑判断而是人工按照对比资料准确度来判断，所以也许你靠猜和拼凑资料就能知道人家的ID，我是说也许，但不是叫你这么做。

简单来说SD给了10种找回密码的方式，实际上是给了10种盗号方法。

3：现在修改密码不需要邮箱，只要老密码即可，知道别人的ID可以随便修改密码，就算不能修改原始资料都可以给对方带来极大麻烦，我完全不知道所谓的安全性在哪里。

4：在下面这个地址，可以知道人家的ID后输入就能知道人家的数字帐号，不需要密码，不需要邮箱，不需要身份证，什么都不需要。
http://kf.sdo.com/sdch/QuerySdid/QuerySdid.asp


其他关于邮箱认证和手机认证所存在的安全隐患我在这里就不说了，总之是惨不忍睹，所有ID已经和半公开化没什么差别了，并且见鬼的是，这SD的技术部门我完全不知道是干什么吃的，比如我要修改好几个ID，先修改了一个ID，右上选择注销，比如把123.ro120注销，换成456.ro120登陆，奇迹出现了：左上显示还是123.ro120，同页面左边菜单却显示456.ro120，而充值处依旧是默认给123.ro120充值，注销你个鬼啊……

也许能修改买来的ID资料是个不错的事情，但是一旦任何属于自己的ID被恶意抢注，后果将是不可想象的，难道看到这里，你们谁还愿意相信SD这鬼公司在注册游戏ID时候提示的“XX资料一旦填写，今后将不可修改”之类的鬼话吗？而现在实际的情况就是也许你只要花1块钱，就可以光明正大把人家的ID填上你自己的资料了，本来真的不想写这个主题，但是在圣域、峡谷和田园合并前写，总比合并后发生被抢注事件后再提醒人要好，反正只要SD有这么低能的捞钱手段，就肯定会一些心术不正的人被利用的。

[ 本帖最后由 hirro 于 2009-6-10 12:01 编辑 ]

32.mp3

还好我不出名

死鸭

-0-~ 真按LZ 所说 那我该扔光装备换游戏了~~~~~~

hirro

暂时能想到的防范措施是：

在升级通行证前把所有ID的密码都改成只有自己知道，然后在升级通行证后第一时间给所有ID充值，然后在以下地址把所谓“唯一”的一次修改资料机会用掉免得被抢注，具体是不是“唯一”的一次机会，大家心里有数就好。

http://pwd.sdo.com/PTInfo/PTInfo/ModifyInfo.aspx

傀儡娃娃

我看完了，我的帐号危险了（虽然就2个人知道）

32.mp3

为什么不是“唯一”的 说清楚点嘛..

迟到の祝福

盛大乱稿。。受不了

hirro

刚才我花了若干RMB，以及一个小时上班时间，把我的几个ID和会长ID都修改了资料，仔细想了想，大约是SD嫌我每月给商城贡献近千RMB还不够多，所以想方设法要我多出点，也许不久后的将来只要知道人家ID，就算不知道密码都可以出钱来修改密码了……

happy!

问题很严重啊~

悠然自の

打包 看来要撤了....

7314

還好只是新生

蓝军皇朝

难道盛大是想放弃RO，故意这样搞？

hirro

原帖由 7314 于 2009-6-10 10:24 发表
還好只是新生

我不觉得其他服务器升级到通行证会避免这个问题……

無淚之城

原帖由 hirro 于 2009-6-10 10:10 发表
暂时能想到的防范措施是：

在升级通行证前把所有ID的密码都改成只有自己知道，然后在升级通行证后第一时间给所有ID充值，然后在以下地址把所谓“唯一”的一次修改资料机会用掉免得被抢注，具体是不是“唯一” ...

其实就怕ID被人知道的那些号,如果ID没告诉过其他人什么的没什么事的,我用已有的通行证登陆你这网站,显示的是:

对不起，您的通行证注册时间已经超过15天，不能再申请资料修改服务。
为防止通行证资料被恶意修改，我们已把通行证修改资料服务的申请时限限制为通行证成功注册的15天内，您可以点此了解详情。

也就是如果超过这15天后,这个警报基本等于解除了...

7314

還好目前只是新生