|
|
我是 MinziAddon 的开发者之一，那些代码我一行一行看过。今天出来讲，不是替谁洗，我只讲这段代码本身是什么、能干什么、不能干什么
我在项目里主要负责客户端这块，服务端由另一位维护。下面凡涉及服务端的部分，都是我们内部确认过的口径，不是我个人猜测
他那篇帖子证的只有一件事：客户端有上报。标题写的是后门。这两件事之间差着十万八千里。我今天不扯别的，就按他描述的行为讲——就算他说的每一个字都是真的，它也不是后门
先把"后门"这个词定义清楚。后门指的是在用户不知情的前提下，收集敏感信息，或者接受服务端远程下发的指令并执行。两条标准，我们一条都不占
第一，我们有明确的使用条例，条例里写明了会上传部分信息，这就不叫不知情。第二，退一步说，就算不谈条例，上传的是"某区块里储物方块数大于等于八"这种区块级计数，它本身就不构成敏感信息，具体为什么下面会讲。第三，收集要成立，前提是接收并存储，而服务端侧至今没有任何持久化存储，我们这边也看不到任何相关数据——这是服务端代码的既定行为，不是谁嘴上说说
远程下发指令这一条，下面单独讲
这个模块干了什么？扫附近的储物方块，数一数，够八个就报一次区块坐标加计数。完了。单向，只出不进。服务端收到后只返回一个状态，数据不落库，直接丢弃。客户端也不接受服务端下发的任何指令，不执行任何远程代码，不碰本地文件，不碰账号——它没有任何一条路径能让服务端反向进来。一条只能出去、进不来的单向上报，管它叫门？门在哪？
chest>=8 加区块坐标，那不是基地坐标
区块坐标的粒度是 16×16。一个区块里躺着八个箱子，可能是玩家基地，也可能是地皮上的临时装箱点、交易站、别人废弃的缓存点，甚至就是跑图路过扫出来的一片地形。它报的是"这个区块里储物方块数大于等于八"这么一个阈值判定，不是箱子精确坐标，不是箱子里的东西，不是建筑结构，不是你的路线，不是你的截图
拿区块坐标加计数去重建完整基地地图，他自己在帖子里连一个重建算法都给不出来，因为根本重建不出来。把一个粗粒度标记讲成精确基地，这是全帖最大的一次偷换，也是整个结论的地基。地基是偷换来的，上面盖什么都是歪的
真后门长这样子吗？
真做后门的怎么干？混淆类名，加密载荷，流量混进正常请求里，间隔随机化，端点命名不留痕迹，绝不会走一个规整的授权客户端
他逆向出来的是什么？类名规规整整，三个端点名字清清楚楚，200 tick 固定间隔，所有请求复用同一个 LicenseClient、同一个域名。这是最笨最直白的遥测写法，笨到随便谁都能逆向出来
捋一下这个逻辑：一个真想偷东西的人，会把通道修得谁都能逆向出来、还起名叫云备份吗？他自己的逆向结果恰恰证明了它不隐蔽。不隐蔽的东西，不是后门。把"我能看懂"当成"它在偷偷干坏事"，这中间的因果，值得他自己理一理
关于那句"可能会暴露在风险之下"
那句看着是全帖最保守的一句，其实是最脏的一句。因为它把一句彻底的空话包装成了对别人的警示，还能让自己不用负任何举证责任
这个功能一直运行在所有使用 minzi addon 的客户端上——你统计过吗？你手上有的只是一份逆向样本里有这段代码，然后就把它等同于每一台装了这个 addon 的机器都在跑。版本号、构建渠道、是不是那个已经泄露出去带反破解校验的构建，一个都没交代，上来就是所有。连自己逆向的那个文件从哪来的都没公开，倒先替全部用户做了结论
服务器怎么处理收集到的数据我们无从得知——好，你亲口承认你不知道。不知道只能推出不知道，推不出别的。你不知道服务器有没有存，不知道有没有人看，不知道能不能被检索，你什么都不知道，然后下一句接我们知道的是。你知道什么？你什么都不知道。上半句刚说完无从得知，下半句立刻把诚实吃回去了
后后是可能。为什么一定要加这两个字？可能这两个字没有成本，因为没法证伪。我也可以说明天可能有陨石砸你家，我也可以说你电脑里每一个闭源程序都可能在偷你东西，反正是可能，你能证明它不可能吗？如果一个只要加可能就能成立的指控也算指控，那这世上没有任何一个闭源软件是清白的，包括你正在用的论坛、你的浏览器、你的 Windows、你玩的游戏本体。这个标准，你敢不敢按在任意一个闭源程序头上
从上报一个区块坐标，到你基地暴露，中间要过五道坎：服务器得接收、得落库、得能被检索、得能被第三方拿到、拿到之后还得到所有坐标点具体有没有基地。五环，你一环都没证
所以那句话的完整逻辑是：我发现了一段代码，我不知道它后面怎么处理，所以我断定你的基地有风险。中间那个跳跃，是用可能两个字蒙过去的。把"我没查清楚"写成"你有危险"，这不是谨慎，这是造谣
在那篇帖子的回复里已经说过，这里把原话再贴一遍
功能的源类名为云备份，是在八月底因为来自用户反应在极端情况下无法正常保存坐标点而添加的（所有本地保存链路都被阻止，包括 xearo map 的）
这是什么？这是本地存不下之后的兜底方案。本地能存的时候，谁会去做云备份？
至于声称的服务端保存数据，你是拥有了服务端源码吗，事实上这个功能依旧是不完善的，至今没有获取到任何数据，服务端不存储也看不到，是需要我发服务端证明吗还是怎么着的呢
这边主动说可以发服务端证明。对面接了吗？一句没提这茬，反手就是怎么处理的呢我们都无从得知。这边说可以给你看，他说我不知道所以你有罪
非云版本的基地记录没有任何有关于上传此类数据的行为
也就是说这个行为只存在于带云功能的那条分支上，不是全量行为。那所有客户端就更站不住了
至于"是其他开发擅自主张在未被我理解的情况下添加"这句被人演绎成 addon 有门跟 dev 一点关系都没有，那是项目内部的事，今天不讲。今天讲的是：不管是谁提交的，这段代码的行为是明确的、单向的、有名有姓的。一个多人协作的项目里有人加了段东西，和主观设计后门，这是两回事
材料本身的来源就不干净
那边说得也很清楚：你本帖的所有分析，都是基于 MinziAddon 的非法逆向以及在违反用户协议的前提下实现的。对面回了一句，不逆向谁知道 user 的区块信息每 200 tick 上传一次服务器啊
好，那你承认你是靠逆向拿的。逆向违反用户协议，而你逆向的还是非法泄露出去的构建。那么请你公开：文件大小、从谁手里拿的、是不是破解版或者二手转发的。用违反协议搞来的、来源不明的东西给一个正式且持续更新的产品定性，你自己掂量掂量站不站得住。再说你既然都逆向了，把服务端也一并逆向出来啊，只晒一半是什么意思？因为另外一半你根本拿不到
你证明不了的东西，就不该写成结论。一个只数储物方块、只出不进、连指令都收不了的模块，被诋毁成后门，实际上这只是为了你的利益，好卖你的客户端
这是我补帖子的第二次了，你删几次我就补几次，为什么你只能无能堵嘴了啊
|
|
发表于 
置顶卡
变色卡
楼主