vimeworld-2fa

KO | EN

gitlite — search

#javascript #hacktoberfest #ai #llm #machine-learning #rust #deep-learning #linux #docker #macos #java #cli #vue #openai

(★ 11)

Бот для подбора кода и последующего отключения двухэтапной аутентификации на аккаунтах VimeWorld

vimeworld-2fa Latest Version Download

Download Latest Version (.zip)

// repository documentation

Was this content helpful?

★ 0 (0 ratings)

### Мы победили.
Взлом двухэтапки был нужен, потому что техподдержка VimeWorld не помогала её отключать.

В 2024 году техподдержка VimeWorld пересмотрела свои процессы, и теперь аккаунт можно восстановить через них.

В бэкенде ЛК введены новые ограничения, которые окончательно пофиксили этот способ взлома.

Этот репозиторий заархивирован как небольшой кусочек истории проекта VimeWorld.

<hr>

> ### Философия VimeWorld 
> Техподдержка VimeWorld отказывает в восстановлении двухэтапной авторизации всем, кто хоть раз передавал аккаунт.
> Запрет делиться с кем-либо данными для входа - достойное правило для предотвращения торговли аккаунтами, однако факт передачи далеко не всегда указывает на продажу.
> У нас есть более сотни примеров игроков, чьи аккаунты никогда не продавались, и тем не менее получают отказ на любые просьбы о восстановлении доступа.
> Мы считаем такую политику несовместимой с лозунгом "Мы любим своих игроков".
> 
> На сегодняшний день автоматический перебор кодов - единственный шанс вернуть свой аккаунт.

# Как использовать?
Скачайте последний [релиз](https://github.com/DelfikPro/vimeworld-2fa/releases)

# Как использовать бота?

### I этап. Настройка бота.
1. Создайте файл в папке `start.bat` с jar-файлом. В `start.bat` пропишите следующую команду
для запуска бота -> `java -jar {название jar-файла}.jar`
2. Запустите бота данным файлом `start.bat`. Бот создаст необходимые файлы.
3. В файле `2fa.yml` нужно настроить токен ([капчи](https://rucaptcha.com/)), ID группы ВК, токен группы ВК, Ваш ID страницы ВК (состоящий из цифр).
За данные параметры отвечают следующие поля в файле `2fa.yml`:
- токен капчи `rucaptcha-token`
- ID группы ВК `vk-bot-id`, но учтите, что Вы также должны заполнить параметр `vk-token`
- Ваш ID страницы `vk-main-peer`
В `db-type` оставьте параметр базы данных `json`, если Вы не разбираетесь в этом.
В параметре `ranks` заполните поле `name` (ник игрового аккаунта на сервере) и `vkId` ID вашей страницы ВК (состоящий из цифр)

### II этап. Настройка группы ВК. Основные команды.
Бот имеет основные команды для обычного юзера:
- /sail <никнейм аккаунта> <пароль аккаунта> - добавить аккаунт в бота
- /approve <никнейм аккаунта> - подтверждение добавленного аккаунта
- /boats - проверка прогресса
Остальные команды используются только РАЗРАБОТЧИКАМИ. ЗА СЛОМАННЫЙ ФУНКЦИОНАЛ ОТВЕЧАЕТЕ ТОЛЬКО ВЫ. САМ
БОТ СТАБИЛЬНЫЙ И ОШИБОК В РАБОТЕ НЕ НАБЛЮДАЛОСЬ. НЕ НУЖНО ПИСАТЬ: "У МИНЯ ВСЬО СЛОМАЛАСЬ Я ВВЕЛ КАКУЮ ТА НЕ ТУ КАМАНДУ"
1. Создаём обычную группу ВК. Не забываем включить сообщения группы и функцию за ботов.
Также вы должны создать ключ доступа, он же `vk-token` в `2fa.yml` и включить LongPoll.
В LongPoll вы должны выставить последнюю версию и в типах событий выбрать ОДНО событие `Входящие сообщения`
Группа настроена.
При добавлении аккаунта, нужно написать команду для добавления.
### ВАЖНО!
Если Вам бот пишет, что `Отдать приказ может только капитан` Вы должны остановить бота, зайти в файл `2fa-permissions.json` и
изменить у себя `rank` с `SAILOR` на `CAPTAIN`. Заново запустите бота и добавите аккаунт, подтвердив его соответствующей командой.
Пойдет прогресс подбора кодов. Как только правильный код будет подобран, бот Вам сообщит незамедлительно. Также проверяйте прогресс.
Все.

# Что нужно?
Вам понадобится Java 11, хостинг, группа вконтакте и много терпения.

### Дополнительная информация
На ОС Windows нецелесообразно использовать этого бота, потому что вам 
придется держать компьютер включенным 24/7, поэтому сразу покупайте дедик и 
пишите в телеграмм: t.me/egorsgn

# Как это работает?
При входе в Личный кабинет VimeWorld ([cp.vimeworld.ru](https://cp.vimeworld.ru)) вам предлагается ввести шестизначный код.

Этот код генерируется по алгоритму TOTP ([подробнее...](https://ru.wikipedia.org/wiki/Time-based_One-time_Password_Algorithm)), а значит напрямую зависит от времени, установленном на вашем устройстве.

VimeWorld понимает, что при измерении времени могут быть неточности между вами и личным кабинетом, поэтому существует окно длиной в 150 секунд, в течение которого действует каждый код.

Если учесть, что новый код генерируется каждые 30 секунд, то получается 5 кодов, которые действуют одновременно.

Код состоит из 6 цифр от 0 до 9, - всего 1 000 000 комбинаций

Шанс угадать равен приблизительно 1 из 200 000 (одновременно действуют пять кодов)

Процесс отключения двухэтапной авторизации состоит из двух фаз:
* Сперва необходимо получить доступ к личному кабинету (авторизоваться), введя шестизначный код
* Затем нужно ввести ещё один шестизначный код в поле для отключения двухэтапной авторизации и подтвердить действие CSRF-токеном

### Первая фаза

VimeWorld ограничивает количество попыток ввода неправильного кода в этой фазе: нехитрым методом было вычислено, что можно кидать запрос каждые 42 секунды без риска упереться в ограничение.

Из-за этого ограничения можно пробовать не больше 86 кодов в час, что растягивает длительность полного покрытия вероятности 1 к 200 000 на добрых 4 месяца.

### Вторая фаза

После получения доступа к личному кабинету нужно перейти в раздел `Безопасность` и подтвердить отключение двухэтапки.

Для этого нужны две вещи: CSRF-токен и шестизначный код.

Поскольку мы только что уже вводили код, то, возможно, он подойдёт и тут, однако временное окно для снятия двухэтапки меньше, чем окно для входа в аккаунт

Если код не подходит, приходится подбирать новый. Плюс в том, что здесь уже нет ограничения в 42 секунды, поэтому можно спамить запросами и не волноваться.

Чтобы получить CSRF-токен, достаточно просто сделать запрос к странице `Безопасность` и вытащить его из встроенного тега `<script>`

После отправки запроса VimeWorld напишет нам
```json
{"state":"success","message":"Двухэтапная аутентификация отключена"}
```
### Финал
Если Вы все выполнили верно, то поздравляем Вас, Вы успешно хакнули Ваш аккаунт!

vimeworld-2fa

vimeworld-2fa Latest Version Download

Today's picks

Was this content helpful?

Recent Feedback

vimeworld-2fa

vimeworld-2fa Latest Version Download

Today's picks

Was this content helpful?

Recent Feedback

Download README