《大话西游OnlineII》游戏官方网站——新闻标题

　　在发表这文章之前，首先声明，我不是网易枪手，甚至我还是网易的眼中钉。我们的大话的边缘人，熟悉大话的操作流程，但同时也不玩大话，却成天都在研究大话，也别问我的身份。今天挺无聊的，顺便就发点盗号的内幕，大家了解一下.
  
　　在看了众多玩家谈论大话盗号的文章后，只能说一句话：外行看热闹，内行看门道很多玩家都怀疑盗号是网易内部的问题，泄露玩家信息，这的确有点牵强。毕竟做为一个网游经营者]游戏数据库就是游戏的生命，谁不会拿自己的生命开玩笑。况且，大话的数据库是分层的，各部门之间各司其职，数据库只掌握在最严密的部门里，可以排除一般的部门获取游戏数据的可能，至于游戏的运营商，或者是小小的GM，那更是门都摸不到。别说我说话无根据，以下我会说明的。

　　其次，很多人怀疑将军或者是密保卡的作用，无非空穴来风。个别将军令被盗的例子，不是将军不起作用，而是被盗号者利用玩家资料解除了，或者是身边人作案。我们做梦都想着怎么破将军令，可将军的保密程度实在是恐怖，真能破了将军，有那技术，我还不如直接去破银行好了。
   
　　言归正传，说说大话被盗号的一些内幕吧。　
　
　　首先，澄清一个众说纷纭的误会。很多文章都说大话被盗号是在将军推出以后。其实大话被盗号不是将军令出来２个月前后的事情，从大话正式运营开始，就已经被盗号的高手盯上了，只是不成为规模．最早的盗号方式是ＱＱ发文件，或者是鼓吹ＸＸＸ网站可以领取奖品，采用单个捆绑木马的方法，进行钓鱼式的盗号．收效甚微，就像点对点的传播方式一样，被感染的用户太少，所以只出现少量的盗号，并没引起玩家和网易的重视。（这是每一个游戏的毕经过程，公测的奇迹世界，也一样引起了黑客的关注，很快，奇迹世界的盗号就会出现。这是题外话了。
   
　　同时，在大话初期的时候，大话里的虚拟财产和现实的金钱的挂钩还不是那么密切，毕竟当时的人物等级都还低，并且还没推出修炼系统．玩家对大话币的需求只停留在初级阶段。大话开始出现大规模盗号是在修炼系统推出以后，大量玩家对大话币的需求开始增多，但由于在游戏里赚钱或者现实里没充裕的时间去玩游戏，大话币的来源受到了限制。光是卖卡并不是长久之计。于是，大话币买卖就开始兴旺起来。直接就催生了淘宝网，拍拍，５１７３等大话币和装备交易市场的火暴．同时也间接催生了盗号的疯狂.

　　年初，随着大话币的市场火暴，最初的ＱＱ和网页捆绑木马，已经无法满足需求。渐渐发展到专门的木马盗号，这期间出现了大小姐刺客马－－－大少爷大话马－－老爷马－－巴拿马，盗号的手段开始]从简单的挂靠网页到利用＂肉鸡＂进行局域网，或者是地区数据库的大范围传播．并且大话木马有时直接挂靠在一些大的木马下面进行传播，前段时间纷纷扬扬的“灰鸽子”病毒，就携带有大话的盗号程序。但]是那时候，网易既没将军，也没密保卡，电话密保也没出，一时间，盗号之疯狂开始显露。由此直接催生了盗号业内第一位千万富翁（金砖梦幻王子），是梦幻盗号业内的祖师爷．他主要卖梦幻的帐号信息，不参与第一手盗号，一年多的时间就攒下了千万身家，乃盗号里的传奇人物．据闻现在已经洗手，后来者基本均是他的徒子徒孙。
　　
　　然后才到了２００６年８月份，就是将军推出没多久，业内称为＂黑色八月＂，大量玩家帐号被洗，而且专门盯上有钱的大户．这主要的原因，据业内资深人士透露，是因为为了试探将军令的作用，试探能否破解将军令，当时就一直攻击网易的数据库，但一直没攻进去，唯一有一次，只攻击到了外层，直接就导致了游戏的回档问题，具体是哪个服务器回档，由于时间久远，记不清楚了。为了破解将军的漏洞，黑客们加大了木马的传播范围，最后结果是将军令用户没盗成，反而逮着了大批无将军的玩家．由此也就导致了玩家对网易的怀疑，但却证明了将军的作用，其实最终原因还是盗号木马在作祟．业内人士深有感概，破将军令，难于上青天。
　　
　　接着是２００６年末，大话推出了绑定和密保卡，随之盗号木马也在更新，开始出现了过滤将军令，显示密保状态，显示角色金钱，显示解锁码的新一代木马．同时木马的更新和免杀功能更加强大，正所谓一句话：道高一尺，魔高一丈．
　　
　　说下有将军令用户也被盗的原因，第一是身边人作案，第二是用户注册资料被泄露，被盗号者利用到网易去解除将军，建议大家不用把号的资料，将军序列号什么的存在电脑里，假如你电脑被远程控制了，别说查到你资料，就是把你电脑塞几万个病毒你也没办法．
　　
　　再解释下为什么会在几分钟内被清号，这是一个分类软件在作祟，完全不用人工操作，你人再熟练，还能跟机器的速度比么？说是5分钟清号，那绝对是不夸张。至于如今盗号之疯狂，一方面是服站的推动已及高等级人物的大量出现，大话币需求市场越来越大，
而大话币交易平台也已经成熟起来。但更重要的是，现在的帐号信息出售已经发展到了公开化的地步，【这段话我编辑啦因为涉及不良途径见谅】难怪，盗号之猖獗，猛于虎。　
　
　　最后说下，基本的防盗知识，别以为自己是电脑高手，自己的电脑可以严密得水泄不通，绝对不会被盗。再强的杀毒软件都有其漏洞，再严密的机器都有人可以攻击进去。买个将军，或者弄个密保卡。电话密保就算了，纯鸡肋产品。大号绑将军，现在的将军还有送点的，基本是免费了。我不敢说很高手，但至少还真没听说有人敢说能破将军令。

　　话不多说，希望大家开心游戏。

　　如果这篇文章能对大家有所帮助,本人已经很开心了.

　　游戏,娱乐而已,仅此而已,仅此而已.
========================2007年11月23日更新=====================

　　帐号防盗攻略之：为什么我的号绑了将军令还被盗？

　　昨天发了一个帖子，引起了大家的关注，许多热心网友纷纷跟帖讨论，有人提出：为什么我朋友的帐号绑定了将军令还依然被盗？？？在这里，我结合自己的经验和查到的有关资料解释一下，以引起大家的注意。不妥之处还望大家指正。 

　　说明：技术部分引用了来自【山山精神療養院】我为歌狂的技术贴，在此感谢并做一个说明

　　帐号绑了将军令依然被盗了,我想是有可能的。
  
　　原因一：就是有人盗取了你注册时的资料（也许是你不小心泄漏的），并把资料发给了网易客服去取消了你的密保，（只需要发送邮件过去就行，知道你的身份证号，伪造个身份证复印件就可以了），这种可能性有。
  
　　原因二：就是别人控制了你电脑。你打开大话时被别人运行了一个伪装的大话登陆界面,你输入将军令的动态密码后马上就会被盗号的所截获,会在10秒钟内上你号,把你号给洗光,而你登陆是显示的是服务器繁忙。这时，你肯定想不到是号被盗了吧?盗号就是这么简单,只主要是由于自己电脑不安全造成的
  
　　原因三：如果你的注册资料没有泄露，电脑也很安全还被盗了，那就是可能被别人知道了自己将军令的服务号和序列号,知道这两个数据也可能导致你号被盗的危险。下面我给大家讲一下将军令的工作原理。
   
　　将军令原理猜想

　　网易将军令推出后，以帐号+密码+动态密码的形式对游戏id进行保护，大大提高了帐号的安全性。对于将军令的工作原理，很多人提出自己的猜想，本人也就自己的想法阐述一二.希望梦想可以做的更好.  

　　众所周知，将军令每隔一分钟变化一次6位数密码，俗称动态密码。由于用户端（将军令）在出厂之后，同服务器端就再没有物理上直接的联系，因而，如何与服务器端保持逻辑上的同步是最大的问题，即如何保证用户端产生的动态密码与服务器端验证的动态密码是一个密码？  

　　猜测：用户端产生的动态密码是一个与时间有关的动态密码，即密码M与时间T之间存在着关系：M=rand（TX），rand（）为随机函数，TX为随机函数的种子，X为另一因素，比如将军令的序列号等。  

　　这里，X是一个服务器端已知的变量，出厂时就已经设定了，最大的可能是将军令的序列号、服务号或者序列号服务号所对应的一个因子，在生产将军令写入初始数据的时候，同时植入用户端和服务器端，由于每个将军令的序列号和服务号唯一，因而，拿不到将军令就无法知道X，也就无法知道动态密码M。  

　　显然，只有因子X是不够的，M=rand（X），是产生了一个密码M，但显然无法动态变化，失去了意义。因而因子T不可缺少。  

　　说到这里，有人会说，那干脆一起植入T，不就得了。  

　　分析下，植入T之后，服务器端的T1受服务器端时钟影响，用户端T2受用户端时钟影响，问题出现了，如何保证在运行一段时间以后，T1=T2？一个方法是采用高精密的材料，保证在3年的时间里T1=T2，明显成本巨大，以市场上30元左右的电子手表为例，要保证成千上万个电子手表3年内的误差不超过1分钟，可以说是天方夜谈。  


　　因此，必然有一个关于T 的逻辑上的纠正。  
   
　　大胆假设：服务器端固定T0，引入因子△t，服务器端植入△t，△t为用户端时钟同服务器端时钟之差，即△t=T2-T1。这样，用户端（将军令）端的密码M=rand（T2X），服务器端密码M=rand[（T1+△t）X]，这样，对于成千上万的用户端（将军令）在服务器端只要记录了△t，就可以了。这个△t，可以在将军令生产的时候植入服务器端予以记录。  
  
　　这里，仍然没有解决双方同步的问题。  
  
　　同步的问题可以这样解决，服务器端动态的调整△t。在开通将军令的时候，在提交序列号和动态密码的时候，服务器端计算M=rand[（T1+△t）X]，并且在△t的基础上，计算出...，△t-5*60，△t-4*60, △t-3*60, △t-2*60, △t-1*60, △t, △t+1*60, △t+2*60, △t+3*60, △t+4*60, △t+5*60,...这个数列。具体数列长度根据需要来定，由于是随机6位数的函数，在这个数列中是不会出现重复的M的。这样，就可以计算出△t附近前后相差n分钟所产生的密码M，只需要比对提交的动态密码与数列中的哪个值对应，就可以动态的调整△t。假设，动态密码与△t-2*60对应的密码相同，就可以调整△t=△t-2*60。这样，解决了用户端（将军令）从出厂到开通使用所产生的时间误差。这个n，根据实际需要制定，如果出厂1个月就差几个小时的话，那将军令的质量就忒差了。  
  
　　在使用将军令的时候，采用同样的方法可以同步。在确定了△t后，服务器端在每次验证的时候，只要算出M1=rand[（T1+△t-y）X]，M=rand[（T1+△t）X]，M2=rand[（T1+△t+y）X]，就可以算出△t附近y秒的时间的密码M，就是允许将军令有y秒的时间误差。在具体使用中，有人已经测试证明将军令是有时间误差的。如果服务器端的M与将军令的M不一样，而是服务器端的M1与将军令的M一样，就可以实时的进行动态调整△t=△t-y了，实现将军令同服务器端时间上的同步。  
　　有人尝试破解将军令，看来较难。首先不知道X，其次不知道△t，因而将军令的保密性还是不错的。  

　　电子表的原理:在直流电(电池)的作用下,通过晶体管、音叉、石英晶体、大规模集成电路等等作为振荡器产生一定频率的震荡，通过固定频率的震荡来传动马达，或者驱动液晶屏等来计时。整个系统关键部位是能源（电池），振荡器，表现部分。  
　　以石英表为例，在石英晶体的表面施加一定的电压后，石英晶体会产生固定频率的震动，通过分频器后驱动马达，带动指针转动，由于频率固定，指针的转动是匀速的，只要分频调整到与时间一致，就可以计时。  
  
　所以，电子手表计时是否准确关键看电池、振荡器的质量，我小的时候带的电子手表没电或者换电池后，通常不准，就是受电池电压变化的影响。  
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
我想：
　　1、不可逆的算法，这个很容易实现，数学领域中可以找到很多，随机函数也太多太多。  
　　2，种子与服务器同步，对应我公式中的TX，同时植入服务器和用户端即可。  
　　3，每分钟动态刷新密码。植入时间因子就ok了。  
　　4，关键问题还是同步。从网易前阶段退出的将军令修复的措施来看，应该就是“提醒玩家主动协助对时”，跟新启用将军令几乎是同以道理。而调整频繁问题，也可以采用算法改变调整频率，减轻服务器的负担。  
　　5，同步的方法还有一些，如果想用的话，可以用“无线控制计时钟表”，原理是标准时间授时中心将标准时间信号进行编码，利用无线电长波发送出去，表端接收时间信号解码，调整时间，保证表端与授时中心时间高度一致。嘿嘿，这可是美国军方等部门采用的措施。成本太大   
--------------------------------------------------------------------  
　　将军令的安全问题：这个不用担心，保护好你的将军令就行了。别人不知道你的序列号，时间偏差，根本就无法知道你的将军令密码。说实话,要是想破解将军令的话,真的很难,主要是时间的问题,说多了也看不懂,最主要的是大家增加防盗意识,别泄露了自己将军令的序列号和服务号,还有剩下的就是注意自己电脑的安全了,总之将军令被盗十之八九是由于自己疏忽造成的
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－  
　　有人说有将军令还被盗，我想如果是真的，有这几个可能：
一是猜你的将军令密码，不是没有可能碰巧相同，但几率问题，绝对比中500W彩票小；
二是通过某种方式，绕过将军令验证，那是高级专家们和网易的工作；
最后说个狠的，不知道ip欺骗技术应用过来是什么结果 这个还没想清楚 假设你正在玩，突然有一个跟你一模一样的机器截断了你跟服务器的连接 服务器的数据完全把另一个机器当城你的机器.