10 000 очков за 1 секунду: аудит безопасности игрового API

Executive Summary

В ходе тестирования “черного ящика” обнаружено 5 уязвимостей, из них 2 — критические. Ключевая проблема: сервер чрезмерно доверяет данным с клиентской стороны и позволяет манипулировать игровой логикой.

Накрутка очков и захват лидерборда (взлом игровой экономики).
Обход платных механик (жизни/состояние игры).
Риск утечки GPS‑треков и PII через Admin API при компрометации админ‑доступа.

Контекст

Объект: Game API и Admin API.
Метод: black‑box (без исходников), проверка бизнес‑логики, состояний пользователя и приватности данных.
Вердикт: запуск в production не рекомендуется до устранения критических V01/V02.

Уязвимости (кратко)

V01 — обход бизнес‑логики начисления очков (CRITICAL)

Эндпоинт POST /v1/scores рассчитывал баллы на основе area и timeTaken, но не проверял физическую достоверность маршрута. При пустом pathPoints проверка реальности маршрута фактически отключалась.

Эффект

Любой пользователь мог вручную отправить запрос с аномальными значениями и получить начисление очков с сохранением на сервере (201 Created). Это означает накрутку лидерборда и прямой ущерб экономике/призам.

PoC (обезличенно)

Пример аномального запроса (упрощено):

{
  "area": 1000000,
  "timeTaken": 600,
  "timestamp": "2026-04-07T19:00:00Z",
  "pathPoints": []
}

Сервер отвечал 201 Created и возвращал начисленные очки, сохраняя результат.

V02 — mass assignment / манипуляция состоянием игрока (HIGH)

Эндпоинт PATCH /v1/me/game-state позволял напрямую перезаписывать внутренние свойства игрока. Например, установка lives увеличивала число жизней без серверной валидации триггеров, что убивает монетизацию.

V03 — риск утечки GPS‑треков и PII через Admin API (MEDIUM/HIGH)

В ответах Admin API присутствовали “сырые” координаты маршрутов и персональные данные. RBAC работал корректно для обычного пользователя, но при утечке админ‑доступа риск деанонимизации и слежки становится существенным.

V04 — JWT security: HS256 + отсутствие мгновенного отзыва (MEDIUM)

Токены подписывались HS256 (симметричный ключ), а логаут не делал токен недействительным мгновенно: повторный запрос с тем же токеном мог проходить. Окно снижалось TTL 15 минут, но риск при компрометации секрета сохраняется.

V05 — публичный Swagger UI (/docs) (LOW)

Документация облегчает разведку и ускоряет поиск векторов атак. Это не “дыра” сама по себе, но повышает атакуемость.

Что было сделано правильно

Строгая валидация схем (например, блокировка недокументированных полей).
Устойчивость к части инъекций/аномалий (отрицательные/нулевые значения отклонялись).
Базовая защита от BOLA в ключевых запросах, завязанная на ID из токена.

10 000 очков за 1 секунду: как API позволил взломать экономику