Hack via faille joymax.com

miaou

je vous met les copier coller de tout (a savoir que desormais plein de server sont touchés au départ il n y' avait que le hacker toilet (son pseudo) sur Tibet à exploiter, désormais pas mal ont du trouver la faille)
Ca rejoint ce que disait NoEx, le jeu en lui meme est faible de protection le site aussi

_iKe_ a écrit:

Bonjour, cette semaine sur Tibet, une trentaine de personnes se sont fait hacké (deco puis impossible de se reco car mot de passe changé ) Comme par hasard, toutes ces personnes étaient HL et dans la plupart des cas, possédaient des suns... J'aimerais savoir si sur les autres serveurs il se passe la meme chose ou bien si Tibet est le seul server dans ce cas...

paolo21 a écrit:

Voila les information que j'ai eu sur le forum officiel de sro il disen sur tibet un gars nomée Toilet et un autre BabyOwned puis psyspy ou je sais pas a hacke plein de gars par une faille java sur le site allez sur le forum officiel section general discusion

Les hacks sont vraies, plusieurs forumeurs ont confirmé le hack de Hl maxé en stuff.

//edit: sur rev6 c est confirmé


Comme j'ai mit sur l'autre fofo, ca doit etre une faille qui permet de changer un mdp d'un compte juste en connaissant l'ID (donc si jamais y a un roll back, le hacker ne pourra pas vous rehacker)
Enfin bon faut encore Joymax patch la faille...
et correctement

[Silkroad Exploit confirmed]

Citation :

Yes it's possible to hack with just an Account name. So, there are a group of steps that make possible to change the password of one account with just an Account name. Joymax website is not safe. Is not simple and I will not say how it is. I just know the the bug, I know who find it, but I am not toilet.

carhartt

This morning, I have personaly received an email claiming that the exploit was true. I denied it and claimed he was lying. He requested me to give him an account name, I gave him the account name sexpro the old password was 123456, he changed the password to channel at 11h30AM GMT-5.

Please request Joymax to investigate that account at this time and to figure out how the password was modified if they claim such a thing can't be possible.

I would believe that Joymax will do a rollback on Tibet and probably a few other server depending on where the people are complaining.
Please make sure to ask then to investigate this as soon as possible.

traduction via google

Citation :

Oui, il est possible de pirater un compte avec seulement nom. Donc, il ya un ensemble de mesures qui rendent possible de changer le mot de passe d'un compte avec seulement un nom de compte. Joymax site n'est pas sûre. N'est pas simple et je ne vais pas dire comment il est. Je viens de connaître le bug, je sais qui trouver, mais je ne suis pas de toilettes.

Carhartt

Ce matin, j'ai personnellement reçu un e-mail prétendant que l'exploit était vrai. J'ai refusé et il prétend qu'il a menti. Il m'a demandé de lui donner un nom de compte, je lui ai donné le nom du compte sexpro l'ancien mot de passe est 123456, il a changé le mot de passe pour le canal à 11h30AM GMT - 5.

Veuillez demander Joymax d'enquêter sur ce compte pour le moment et de trouver comment le mot de passe a été modifié dans la mesure où ils affirment une telle chose ne peut être possible.

Je crois que Joymax fera un retour en arrière sur le Tibet, et probablement quelques autres serveur fonction de l'endroit où les gens se plaignent.
N'oubliez pas de leur demander d'enquêter sur ce dès que possible.

La seule protection que vous avez à l'heure actuelle est:

Avoir un ID SECRET DIFFERENT de vos NOM PERSO

rev6 vient de réveler ^^ la 1iere étape

De ce que j'ai lu sur rev6, ils disent que la faille est exploité depuis 2semaines vu que les Hl se sont fait hacké depuis cette periode.

Ils ont effectivement donné l'étape 1. J'ai lu l'explication de rev6 et c'est d'une simplicité déconcertante. Je me doute de l'étape2. En faites sur le portail joymax.com, quand vous envoyez le code de verification, il y a moyen de modifer l'ID et l'email envoyé, une fois le code recu, ca vous cree une session d'identification pour ce compte et donc vous pouvez modifier le pass.

Bien joué Joymax, avoir mit 6 mois de retart pour creer l'email verification qui était annoncé depuis belle lurette et avoir creer une vrai passoire, comme quoi on voit bien que Isro est de l'exploitation pur, desqu'il s'agit de faire quelque chose c'est mort

Citation :

[Joymax account exploit Part 1]
http://www.joymax.com/portal/
- Create a new account

Go on the following link: [Here]
Complete the E-mail Verification Service.

When you are done.

Log out.
Go on http://www.joymax.com/portal/
Go in the Forgot your password
Write your ID and E-mail
click Change Password

Now before clicking on Send verification code:
Exploit Step #1 start here:

http://rev6.com/AccountName.jpg

[Tool used do modify the account]

FireFox: [Here]

FireFox Addons: [Here]

Menu: Tools/Web developper/Forms/Display Form Details
Menu: Tools/Web developper/Forms/Enable auto completion

You will see the hidden variable UserID="YourAccountName"
You need to type the account name of the guy you want to steal he's account.

When it's done, click on [Send Verification Code]

You will receive an Email, click on the link on that email
It will ask for the code that was in the email write it and click confirm.

It will now ask for a new password
Fell free to do a
Menu: Tools/Web developper/Forms/Display Form Details
You will see that the account name that joymax send you is not your account name
But the target account name that you want to steal he's account.

Type the desired password and the First step is done.

Now you can go on
http://www.joymax.com/portal/
Type the password of the account you just stolen and you can look at he's personal setting on Joymax.com.

This is the step 1 of 2.
For security reason we won't release the step 2.

The Website password of the target account had changed to the password you have entered on Joymax.com
Now the 2nd step is to modify the Silkroadonline.net password to the Joymax password.
To change he's account password...

We will let joymax a 24-48 hours delay before posting how it's done.
If joymax doesn't nothing, everything will go Public.

In other word you can Steal someone else, legit or bot account with ONLY THE ACCOUNT NAME!.
I have wasted 42 hours investigating Joymax website.
Joymax fell free to compensate me for my time by using the donation link on the left.

May I add to this that the server Tibet All the high level have been hacked 1 by 1 using this glitch during the last 2 weeks.
Please note this goes against Joymax TOS and Joymax is fully responsible for this error. You will need to do a rollback and to do a compensation event for the time lost.
We Rev6.com did not used this exploit, we were investigating this error based on many user complaints.
Our community reported this anomaly and our objective is to persuade you that you must do a rollback
This mainly affected Tibet server, as for other server, please verify your bug report section.

I would like to thank all the anonymous tips received by many different users.
Joymax, if you read your Bug report, you will find how the entire Account stealing process from just an account name to empty the account on silkroad inside the game.

Sincerely,
C-o-r-E, MuMeD
And you’re friendly Venice Silk Assistant,
NeDra (also known as [GM]NyMbLe)

raik a écrit:

raik a écrit:

Hum...non ça fonctionne sur tous les serveurs et pour l'avoir vu en personne je peux vous dire que Aege est également touché...

Je vous filerais les screens d'un full set sosun D8 + weapon sosun d8 hacké. Le vendeur avait beaucoup d'humour sur son message de stall en gros ça donnait : "buy it fast, it's only scammed stuff".

Et j'ai pu voir deux trois vendeurs et des noms de persos nus sans guilde du style VietBlablabla

Encore une preuve que Joymax c'est vraiment des nazes ^^

ptit_chat a écrit:

raik a écrit:

raik a écrit:

Et j'ai pu voir deux trois vendeurs et des noms de persos nus sans guilde du style VietBlablabla

Encore une preuve que Joymax c'est vraiment des nazes ^^

Bon les Vietfucker et compagnie hackés, perso m'en fous un peu, je suis pas contre même ^^

Mais abusé l'empleur que ca prend... C'est grave la quand meme, JM meme pas capable de sécuriser un site minable...

Que des boulzor chez JM

La partie 1 du hack est effectivement toute fraiche postée sur le site rev6.com...
Vu le nombre de HLs en train de pleurer sur les differents forums (y compris U.S.) que je pratique, j'ai bien peur que ça fonctionne...
Bien content de ne pas avoir de SOSun sur mon compte et de ne pas avoir un compte nommé comme mon perso... mais si par hasard je me retrouve à poil à cause de l'incompétence de Joynaze : Bye Bye SRO

Moi de même...

Bon ça me ferait chier de me faire hack mon 80 qd même... Je commence seulement a en profiter un peu pour jobber, PL mes reroll...

sur l auter fofo fr, ils pleurent tous et s'excitent pour rien

1/ c est normal qu'un jeu un jour connait ce genre de faille exploité
2/ y a deja eut 2 failles comblées exploitées avant
3/ Il y aura forcément un rollback mais faut d'abord patcher la faille (aurait mieux fait de couper deja le site)
4/ si votre ID est différent d'un nom de perso aps de souci


IMPORTANT: c'est pas le mot de passe le plus important c'est l'ID, pensez à coder votre ID genre moi j'ai plus que des etr182dfv ca elimine un peu les risques

Bion là vous pouvez commencer à pleurer, faille bouché mais aucune info de Joymax ni rollback

Apparement il aurait corrigé mais sans rien faire d'autre ben putin si c'est vrai sincèrement casser vous du jeu... en gros t es hacker par leur faute ils feront rien.

Citation :

Thank you Joymax for having fixed the Account Exploit on Joymax.com portal.


As for the Account Thief exploit, for now, I consider it as we have failed. There is currently no rollback and even worst, there no news about it. If by tomorrow there still no news, I will release an explanation of how the account have been targetted and how the account name where easier to find then what a normal guy would think. This is about the FORUM exploit in the past where player account name where showing, yes... For those that are not aware, the entire database of silkroad account name and account id was public, though it wasn't a big deal since the password wasn't public. This time though, it was the opposit. The password wasn't required but till the account name is private, I mean it's 100% the user fault for not having a better account name security. Think about it, why would Joymax be responsible? Oh yes i forgot, because Joymax made your account name public on the forum update a few months ago ^^

I still believe there will be a call for a rollback, if there not a rollback, I will personally hate myself for releasing this public. I did everything in my power to help you get your account back. If I had to redo everything, I wouldn't be able to do it any different.

Deja c'est pas un GM qui a corrigé (sachant que dans l'équipe de rev6 il y aurait un GM 1er quote de rev6 avec la signature). Les Gm ne sont que des remonteurs d'info c'est pas eux qui programme.

Ensuite je recopie une partie d'une message de rev6 (oui 3ieme fois mais moi j'ai traduit :p en rouge. Apparement meme sil aurait comblé la faille, rev6 semble dire qu'il y aurait un moyen de trouver l'ID comme via le temps où sur l'ancien forum on pouvait voir l'ID d'une personne en la quotant (son ID etait dans le quote)

Citation :

Thank you Joymax for having fixed the Account Exploit on Joymax.com portal.
Merci Joymax pour avoir bouché la faille de l'exploit sur le portail Joymax.com

There is currently no rollback and even worst, there no news about it. If by tomorrow there still no news, I will release an explanation of how the account have been targetted and how the account name where easier to find then what a normal guy would think.
Actuellement, il y a ni rollback(retour en arriere) et pire meme , il n'y a aucune informations non plus. Si demain il n'y a toujours pas d'info, je posterais une explication sur comment trouver une cible et comment l'ID est facile à trouver.

GM nymble c'est pas un vrai GM il me semble ..

m'enfin sa pue ..quel jeu de merde !

ouai peut etre, en tout cas la faille etait bien réelle et les non infos de joymax aussi :/

j'ai mal traduit apparement rev6 va juste dire comment fut y a pas si longtemps on pouvait trouver un Id avec le pseudo IG (je pense que c est l histoire de quote dans l'ancien forum)

sinon la faille en entier vu qu'elle est patché


Imaginez vous qu'une banque se fasse braquer et qu'on vous dise ah bas désolé ah plus de sousous chez nous les voleurs ont tous prit on vous rembourse rien


En cadeau vu que la faille est bouché (juste pour montrer à quel point c'était simple)

Citation :

[Joymax account exploit Part 1]
http://www.joymax.com/portal/
- Create a new account

Go on the following link: [Here]
Complete the E-mail Verification Service.

When you are done.

Log out.
Go on http://www.joymax.com/portal/
Go in the Forgot your password
Write your ID and E-mail
click Change Password

Now before clicking on Send verification code:
Exploit Step #1 start here:

http://rev6.com/AccountName.jpg

[Tool used do modify the account]

FireFox:

FireFox Addons:
https://addons.mozilla.org/en-US/firefox/addon/60
https://addons.mozilla.org/en-US/firefox/addon/3829

Menu: Tools/Web developper/Forms/Display Form Details
Menu: Tools/Web developper/Forms/Enable auto completion

You will see the hidden variable UserID="YourAccountName"
You need to type the account name of the guy you want to steal he's account.

When it's done, click on [Send Verification Code]

You will receive an Email, click on the link on that email
It will ask for the code that was in the email write it and click confirm.

It will now ask for a new password
Fell free to do a
Menu: Tools/Web developper/Forms/Display Form Details
You will see that the account name that joymax send you is not your account name
But the target account name that you want to steal he's account.

Type the desired password and the First step is done.

Now you can go on
http://www.joymax.com/portal/
Type the password of the account you just stolen and you can look at he's personal setting on Joymax.com.

This is the step 1 of 2.
For security reason we won't release the step 2.

The Website password of the target account had changed to the password you have entered on Joymax.com
Now the 2nd step is to modify the Silkroadonline.net password to the Joymax password.
To change he's account password...

We will let joymax a 24-48 hours delay before posting how it's done.
If joymax doesn't nothing, everything will go Public.

In other word you can Steal someone else, legit or bot account with ONLY THE ACCOUNT NAME!.
I have wasted 42 hours investigating Joymax website.
Joymax fell free to compensate me for my time by using the donation link on the left.

May I add to this that the server Tibet All the high level have been hacked 1 by 1 using this glitch during the last 2 weeks.
Please note this goes against Joymax TOS and Joymax is fully responsible for this error. You will need to do a rollback and to do a compensation event for the time lost.
We Rev6.com did not used this exploit, we were investigating this error based on many user complaints.
Our community reported this anomaly and our objective is to persuade you that you must do a rollback
This mainly affected Tibet server, as for other server, please verify your bug report section.

I would like to thank all the anonymous tips received by many different users.
Joymax, if you read your Bug report, you will find how the entire Account stealing process from just an account name to empty the account on silkroad inside the game.

Citation :

Now The exploit Step 2:

After Step 1, you can now Login on Joymax.com website on the account that you want to exploit//steal.
Go in the manage account section

Email Address modification.
Write your Email Address
Please note ALL email address must be UNIQUE!
If you have a gmail address you can use the following:
u.nknown@gmail.com
unknow.n@gmail.com
unkno.wn@gmail.com
unkn.own@gmail.com
unk.nown@gmail.com
They are all identical to unknown@gmail.com

There a few other glitch in email like unknown+1@gmail.com and goes up to

infinity to have unique email.

Now here the 2nd step Exploit:

While you are login on Joymax on the account that you exploited on joymax.com and

after changing the email, paste this link:

http://www.joymax.com/portal/Joymax_Front.jmx?workURL=http://portalcp.joymax.com/member/sendEmailVerification.jmx?returnURL=http://www.joymax.com/portal/Joymax_Front.jmx?workURL=http://portalcp.joymax.com/

Now Just click the Send Email button
Now that all of this is done, wait for the email.

Click on the email link
Write the Email Code

Click on Change Password Link (you will have 2 choice)
Write the old password and the new password.
The old password is the one you wrote in the 1st Step.

Now After this step you can login to Silkroadonline.net with the account which

initially you only had the Account Name and nothing else.
You can also login in Silkroad the game to that account.

There you go, Hacking an account with only the account name.

This exploit was initially found by Toilet on server Tibet.
Everyone around him where told how the exploit work.
Then the leaking was big enough for us to investigate it.

I must thank our anonymous tips and anonymous leaker.
If it wasn't for you, this exploit would probably not even have been discovered and would go on for weeks and even months.

I would also like to thank rev6.com for there support.
I have to give them credit for everything i'm telling you right now.

Now that everything is out, Make Joymax do the ROLLBACK!!!
1-2 week RollBack for Tibet!!!!

la suite sur le site joymax.com

1iere notice qui a remplacé la 2nde

en gros il disait dans la 2 nous on a pas eut de faille sur notre site, c est pas notre faute si vous avez été hacke. En gros comment se foutre de votre gueule, enfin voilà faut rien esperer de Joymax sur le jeu quand on voit qu'il reconnaisse meme pas leur erreur, je connais mm pas un jeu qui est fait ca

Citation :

Regarding Stolen Account Problem 11/30/2007
Hello. This is JOYMAX.COM.

Recently, there have been posts regarding the concerns of account stealing on our forums and other unofficial hazardous sites.

In order to intensify our security, users who have recently gone through email verification process are advised to change their password once again.

Please change your password following the detailed information below.

Thank you.



Target User: Users who have gone through email verification

Details:

1. User will be redirected to a password change page when logged on to the website



2 .Following phrase will be shown when logged on to game:



Users may log on to game after changing their password at the website

Et l'ancien :

Citation :

Hello. This is Silkroad Online.

Recently, many players have got nervous regarding stolen account problem.

However, there are absolutely no problems with JOYMAX.COM's account system.

We strongly recommend our users to change their password again who are anxious about their account.

Some harmful sites have spread rumors about stolen account problem but those sites rather threaten your computer's security.

Therefore, to tighten up your computer's security, please restrict yourself from visiting those harmful sites, and run an anti-virus program at least once a week.

Thank you.

Vraiment des glands...

Puis vu qu'ils disent que l'erreur venait pas de chez eux, (pourtant la ils ont bien merdé) yaura pas de roll back pour les servers ou le hack a été massif...

(Que dalle en hack sur Odin, ya pas encore eu de drops soX d8 ^^)

je me demande si je me suis fait hacker mon perso sur aege lol
vais le retrouver à poil lol

le pire c est que personne va lacher ce jeu geré par des merdes là j'avoue qu'il faut le faire de dire non y avait pas de faille.

pour info à ce qui parait la faille patché marcherait toujours mais faut contourner un peu.

J'avoue que la prochaine fois qu'il y est une faille, que ca soit publié histoire que joymax ne puisse pas se derober enfin meme là c est tres tres fort

ce que je comprend pas, c'est que pour eux, le tas de personnes qui se sont fait hacker c'est pas important (enfin bon perso, je ne sais pas si ya vraiment eu des tas de hack via cette faille, et puis franchement, je m'en fout ) il y en a qui s'en sont mis plein les poches si TOUS les Mr sosun se sont fait hacker...

Je me souviens juste quand il y a eu la faille pour dupliquer les golds, la c'etait la catastrophe, tous les serveurs en check, roll back sur tous les serveurs etc... ils avaient ptete peur que les sites de vente de golds ne fassent faillite lol

Oui y a eut masse de hack, en plus y en a qui se sont mit plein les poches de gold sun etc

Sinon elori hack konix un ex adg qui etait sur greece hack

je viens de lire sur rev6 un autre legit qui se dit etre hack ce matin, et j'ai trouvé ca sur le fofo de silkroad

Citation :

by (Aege)mKaaru on 02 Dec 2007 9:01 pm
http://www.joymax.com/portal/Joymax_Front.jmx?workURL=http://portalcp.joymax.com/member/password_Change_EnS.jmx

well to those who's account got hacked even when they verified it using their email, you should be on high alert. the initial exploit before the 1st of december, but rather the exploit massively used on the 28th of november,the hackers were also able to hack the Secret Asnwer to your account, which in fact was the 2nd step of the exploit.

so when you're wondering why your account password keeps changing without you knowing anything about it, the above mentioned explanation and the link situated at the top of this thread is most likely the cause of your misery. the hackers already know your id, the mail adress the account has been verified with and furthermore they even managed to hack the answer to your secret question. using those pieces of information and the link above, the hackers can freely change the password to the account whenever and where ever they want.

can joymax pretty please do something about this page, because you know MorningDrool and the rest of teh staff at Joymax, this fuckin exploit is still going on. better really fix it, rollback the servers or just tell the korean office you dumb fucks managed to totally fuck up the international version of Silkroad.

mKaaru est un gros joueur de Aege, il est là depuis le debut de sro depuis que je jouais vous devez le connaitre

doit etre deg konix avec ses sosun :s

Il y a encore deux failles d'apres ce que j'ai entendu dire...

Une sur le fofo silkroad, et une un peu comme celle qui a été patchée (rustinée) il a ya quelques jours.

C'est pas patché correctement, y a des hacks encore là.
Raik aurait reussi à contourner le patch et changer ses mdp sur ses comptes

y'en a qui sont se faire des $$ en revendant les golds de persos hacké

ptit_chat a écrit:

C'est pas patché correctement, y a des hacks encore là.
Raik aurait reussi à contourner le patch et changer ses mdp sur ses comptes

Vrai.

Eloril s'est fait hack après le 1er patch.

Hacker pressé : sword 72+5, shield 72+5 et 30M de gold disparus, le reste est encore là

Eloril a quand même retrouvé son persos, juste sans la sword, le shield et 30M ?

Si deja il a récup son perso, c'ets deja pas mal, mais vu que le cracker connait son ID, si ca merdouille encore, il risque de se refaire cracker...

Le perso est sauvé... pour l'instant.

Il a changé password et adresse mail mais rien ne prouve qu'avec le manque de sécurité actuel ça ne va pas recommencer.

Ben disons que le truc, c'est que seul l'ID suffit encore pour cracker un char.

Qu'il change son MDP et Mail ne changera rien tant que ces failles fonctionneront. Son ID est connu par le cracker... C'est ca le plus grave...