PSN 黑客之间的讨论记录的假定聊天日志显示，该服务上的数据没有正确加密，并且在 PSN 的早期“你可以看到用户密码等，很简单”。
黑客开玩笑说信用卡详细信息在该服务上没有得到适当的加密是一项“功能”，并表示他们永远不会将财务详细信息输入到他们的 PSN 帐户中。
讨论者还声称可以在 URL 中“定义”PSN 上的可下载游戏是否“免费”。
我们已将整个内容发布在下面。这段聊天显然发生在今年二月。
索尼昨晚证实，黑客已经获取了 PSN 帐户信息，例如姓名、地址、密码以及可能的信用卡详细信息。
PSN 上周在检测到“外部入侵”后下线。
谢谢，阿斯拉姆。
[user1] xxx：我认为没有很多人参与规避 /this/ 通道中的 PSN 访问 [ "application/x-i-5-ticket" Reason=40 > PSN 错误 80710101 ]
[user2] 谈谈网络方面的事情？
[用户2] 不错
[user2] 我刚刚完成 100% 的 psn 功能解密
[用户3]:)
[user2]您可以忘记所有历史记录擦除器和日志删除应用程序
[user2] 有独立检查
[user2] 传输所有游戏及其游戏时间
[user2] 每次登录时
[user2]你可以像修改固件版本一样修改它
[用户2]看起来像：
[用户2]
[user2] 他们也可以通过这种方式检测备份
[user1] hash 是 eboot.bin 来检查版本？
[user2] 如果您使用备份，它将如下所示：
[用户2]
[user4] 我找不到我的 PS3 连接到名称中带有“updptl”的主机
[user2] 返回电视、固件版本、固件类型、主机型号
[user2] 我还发现当我连接 USB 设备等时它收集的数据
[user2] 因此，如果他们因 psn 内容起诉某人，他们自己也会被起诉，因为他们收集的大部分数据都是不合法的
[user4] user2，什么时候连接到该主机？
[user4]在PSN登录期间？
[user2]秒我检查
[user5] user2 如何修改该数据？
[user6] user2：您现在是否知道足够的信息来擦除所有痕迹，以便那些从未在互联网上拥有过控制台的人现在可以避免发送此信息？ :)
[user4] 在我的数据包捕获中，没有对名称中包含“updptl”的主机发出 DNS 请求：-\
[user2] @user5：它在用户配置文件加载后直接发送，有时； - 当你玩游戏或任何东西时，它是随机的
[用户4]哦
[user2] @xxxx：我们可以通过隧道之间的代理修改数据，例如删除xml标签之间的所有数据
[user5] 哦，那么它不在 PS3 硬盘本身上吗？
[user6] user2：啊哈，那么这个信息实际上是加密的？
[用户2]的
[user2] 该列表在线存储
[user2] 并在您登录 psn 和随机时更新
[用户5] 该死的
[user6] 但在此之前它存储在哪里？我从来没有用我的ps3上网过...
[user6] 所以它一定在某个地方
[user5] 希望它能在 PS3 硬盘上
[user5]然后锁定它左右
[user1] 唯一的避免方法是阻止所有 *.playstation.net
[user2] 也许 - 我真的不知道 - 它根本不会将其保存在硬盘上
[user2] 因此，当您上网时，仅在一个 PS3 会话中传输游戏和内容
[user2] 因此，如果您的 PS3 处于离线状态并正在玩游戏，请关闭并再次打开
[user2] 它可能不会传输更新
[user2] 因为我在硬盘上没有找到该列表的任何信息
[user2] 可能是用于在线游戏或 psn 登录游戏
[user2] 同样，你永远不应该安装来自未知人员的 CFW
[user2] 因为此时诈骗太容易了
[用户2]例如：
[user2] [经过编辑的纯文本代码，包括虚假的信用卡号]
[user2] 以明文形式发送
[用户3] 呃
[user3] 你审查了那张卡吗？
[user2] 是的，这是假的
[用户3] 好
[user1] 哇，明文：S
[user5] 明文哇
[user3] 我从来没有这样输入过我的详细信息
[user2] 你们都是假的哈哈
[user2] 我从未在 PS3 上使用过 cc
[user2] 通常你至少会加密安全代码，即使它是 ssl
[user5] 希望索尼能以安全的方式做到这一点
[user5] psn 卡可能是纯文本
[user2] 多年来，假证书被称为漏洞，因此公司通常会对此类数据进行两次加密
[user2] 但是嘿，它是索尼 --> 它是一个功能
[用户5]哈哈
[用户7]哈哈
[user5] 是的，如果你公开你的信息，他们要么一起删除商店或 psn
[user5] 作为更新
[user6] 我对此表示怀疑：P
[user7]从他们过去几年采取的所有行动中，我们只能推断索尼不关心他们的客户
[用户2]不可能
[用户7]:)
[user2] 他们不会更新整个 psn 哈哈
[user6] 但这确实应该发布，但我想几分钟后它就已经出现在 psx-scene.com 上了;)
[user5] 3.60 删除 psn
[user2] 我认识一些在索尼的 psn 后端工作的人。就在 ps3 发布时，我们谈论了第一个 psn，此时所有都是 http 且未加密。这样你就可以清楚地看到用户密码等。我问他们为什么会这样。蹩脚的回答是“我们认为它已经得到解决”。 - 哈哈
[user2] sony qa --> 学员
[user8] 非常适合“#define rand() 4”的心态。 ;)
[用户2] 是的
[user3] 或更多
[user3] ECDSA_PRIVATE_KEY 私钥；
[用户2]哈哈
[user3] 和 PrivateKey 位于头文件中
[user3] 并且它是静态的
[用户2]xD
头文件中的 [user3] 和 ECDSA_RANDOM
[用户3]等等
[user2] 我发现的另一个有趣的功能是关于 psn 下载
[user2] 当从商店请求 pkg 游戏时
[user2] 在 url 本身中，您可以定义是否免费获得游戏。需要对哈希值等进行一些修改
[用户3] ..
[用户2]就像
[用户8]：D
[用户3] 我的天啊
[用户2] drm：关闭
[用户5]哈哈
[用户2]哈哈
[用户1]：捂脸：
[user8] 嗯，这是减轻服务器负担的一种方法。
[user2] 仍然想知道大禁令何时到来 :D
[user1] 如果他们禁止所有人，即使在他们的国家合法使用备份（但他们认为违反了 TOS），这将是一场巨大的海啸，而不是浪潮
[user10] 问问你的朋友 :P
[user2] 很可能他们会像现在这样，无论如何都是不可阻挡的
[user2] 新固件禁止所有进一步操作并完成
[user4] 一个开放的 psn 就好了
[user4]即使这只是一个玩家匹配服务
[用户2]的
[user3] 这实际上是可能的
[user3] 如果你可以让身份验证工作
[user3] 以及所有
[user3]一个新的np环境
[user2]好友列表管理最简单
[user2] 简单的 jabber 服务器
[user11]有些游戏不是使用自己的服务器吗？
[user1] 一些使用 p2p
[user11] 从官方 psn 服务器检查您是否登录以及您是谁
[user2] 想象一下流量负载：D
[user2] 谁付这个钱 xD
[user11] 是的，但即使是 P2P 游戏也会使用发行商或索尼提供的服务器进行匹配
[用户3] NpCommerce2
[user12] 我全力支持安全分析
[user12] 几个月前开始监控 SSL 的东西，然后被 blackops 分散了注意力，并没有关注它，似乎现在很多人开始对它感兴趣
[user2] 以及关于匹配和大厅系统
[user2] 固件和/或游戏内置的功能
[user2]你会如何回答他们
[user2] 我们不知道的服务器端代码
[user12] 对于网络内容，某些内容似乎位于 lv2 中，而不位于 sprx 中
[user2]所以我们无法创建正确的答案
[user12] 你可以尝试分析协议并说“如果 X 那么 Y”类型的响应，当你得到以前从未见过的东西时就会出现问题
[user12] 例如，这是通过反击完成的，这样人们就可以作弊
[user12]所以虽然很耗时，但并非完全不可能
[user12] 有时是令人高兴的意外，原因代码 21 意味着密码错误，51 固件版本错误 - 例如 x-i-5 门票
[user11] 当时cs/hl 服务器软件不是可供任何人下载吗？
[user6] 顺便说一句，有人找到了在 PS3 上更改 DVD 区域的方法吗？
[user11] 对于 psn，你甚至无法获取服务器端的二进制文件
[user5] user2 我记得几个月前你做了一个 psntool，里面有一个 psn Messenger，但还没有功能，还在开发中吗？
[user12] 但对于类似的东西，票证必须存在于 psn 端，因为如果我将票证发送到供应商服务器，他们将根据 psn 验证它，如果它不存在，它将失败
[user1] xxx：系统调用 0×363 0×19004 第 3 个字节对此有用吗？
[user2] @xxxx：此时我可以完成该工具了，但是我不确定它是否有用
[user12] xxxx：不，但是你可以监控流量，甚至发送一些“坏”的东西并观察响应...我偶然发现了 x-i-5 原因代码 21，我没有强迫我的代理镜像 ps3 的密码呈现
[user2] 我的意思是为什么有人想在 PS3 上与某人聊天
[user2] 而any1 无论如何都有msn/icq/aol
[user12] 知道这一点，索尼实时监控 psn 上的所有消息
[user12] 我证实，这是我正在做的隐私威胁事情的一部分
[user5] 好吧，太糟糕了，就像电脑上的 psn Messenger
[user12]实时监控对我来说有点麻烦
[user6] user1：这样的信息对我来说毫无用处，因为我不太热衷于技术:)更希望有人有一个简单的方法来做到这一点..比如 DVD 区域更改器之类的。
[user2] @user12：实时 jabber 监控最有可能用于消息的实时审查
[user12] 他们似乎至少有他们寻找的关键字，不确定整个事情有多么侵入性，但是......
[user12] 嗯，他们里面有一些奇怪的东西
[user11] 是的，他们有那个愚蠢的自动单词过滤器
[user4] 审查词表太荒谬了
[user13] psn Messenger 会很有帮助，就在昨天，在消息上输入响应时被杀死了 2 次 + 加载速度太慢
[user12] 一个 psn 代码实际上并不有效，如果您通过电子邮件发送该代码，它就会变得有效，但您无法向钱包添加资金。通过电子邮件将该代码发送给某人使其对您有效这一事实很奇怪......为什么要监视该代码？
[user11] 这使得用英语以外的语言进行合理的对话变得更加困难
[user12] 为什么在发送时改变其状态？
[user12] home 中的审查词位于您的系统上，它会下载单词的字典列表
[user12] 一个空文件可以解决这个问题
[user2] 试图找到我的 jabber 日志...>.< [user12] 所以它只在接收时进行审查，而不是在传输时进行审查[user12] 不知道其他东西是怎么做的[user12]主要是因为我还没有看[user12] 现在你让我好奇了，我要稍微重做我的网络以再次开始监控:)[user2] 顺便说一句，还有一个原因是 PC 到 PS3 的 Messenger 是垃圾邮件[user2] 因为实际上有一种简单的方法来获取用户列表[user2] 如果某个滑稽的人发布垃圾邮件应用程序，他会很难操 psn[user2] 高分和匹配大厅，您可以请求每个游戏 ID 并获取 psn 的用户邮件[user13] 呃，是的[user2] 巨大的列表 + 垃圾邮件应用 == sux[user3] argghhh[user3] 为什么我的奖杯从来不同步到 np[user2] 无论如何，索尼只需要在 jabber 服务器上打开一个端口，这样您就可以使用 icq 登录[用户5]哈哈[user2] 我们都知道如果很酷的自制软件到来会发生什么，请记住打开远程游戏[user2] 索尼刚刚发布了官方工具哈哈[user12] 事情是，越多的人做事、讨论他们所做的事情并解释如何去做，索尼未来锁定 psn 的可能性就越大[user2] psn是ps3的核心功能[user12] 使做任何事情变得越来越困难，例如使用旧固件登录，这可能是第一个消失的[user2] 他们会像其他人一样被起诉[user5] 是的，但他们也阻止了开放的远程游戏[user11] user12：那已经消失了，不是吗[user12] 如果您没有运行当前固件，则您无权使用 psn[user11] user12：即使是调试用户[user12] 还没有，至少还没有[user12] 3.56 没有破坏它，但下一个版本可能会破坏它[user12] 特别是因为它阻止人们在 psn 上运行备份和其他内容[user11] 好吧，我的意思是 3.41[user2] 你对他们来说一切皆有可能[user12] 不确定 3.41 发生了什么变化（如果有的话）[user11] 你曾经能够登录 debug 3.41，直到有人发布了 psn 启用程序 hack[user2] 一种方式比另一种方式更困难，所以我认为他们首先会继续禁止 psn 上的备份[user11] 尽管 3.42 和 3.50 已经发布[user2] 通过播放列表和我之前提到的内容[user2] 修复它的安全方法需要更新固件和服务器[user2] 想知道是什么阻止了他们这样做[user12] 我昨天刚买了一台新的 ps3，有 3.40，要装上 3.55 并开始工作[user12] 我*可能*尝试使用 3.40 并看看我是否可以完成足够的工作，但这会使事情变得更加困难[user1] banwave 可能，新的固件+加上他们仍然需要在下一版本中修复 3.56-1st/2nd 硬盘交换错误[user12]因为我的工作很专业并且范围非常有限[user2] psn 有 45 个环境，全部独立工作[user2] 大概就是这个原因[user2]我们可以换到另一个环境[user2] 他们还需要关注也使用环境的官方开发人员[user2] 和质量保证[user2] 有时需要使用较旧的固件[user2] 所以他们无法更新所有环境并阻止所有[user4] 可能有太多的 ITIL 流程管理，所以他们在没有工作请求的情况下不能放屁[用户2]呵呵[user12] 人们现在采取的方式是更改登录请求中的用户代理，特别是 x-platform-version。但如果 x-platform-passphrase 的构造方式发生变化，那么很容易检测到尝试使用旧固件的人[user2] 即使没有 xi 他们也可以[user2] 因为固件版本的请求比身份验证多得多[user4] 版本也发送到 getprof 服务器[user2] ppl 仅更改 xi 一台 atm[用户4]和ena。[user2] 但它在 netstart，xi，游戏开始[user12] 我明白这一部分，我只是在谈论 x-i-5 auth 的东西[user2]很多很多功能发送真正的固件版本[user2] 但仅检查 xi5[user12] 我意识到许多函数都会发送固件版本，任何使用 libhttp.sprx 的函数都会发送固件版本[用户2] 是的[user12] 记得我已经这样做了几个月了[user12] 甚至编写了软件，让我可以动态执行 ssl 部分，而不是在固定服务器上，镜像真实服务器的 CN[user4] xi5 中 0xC0 ->EOF 处的数据是什么？一些加密货币/盐？
[user4] 幸运的是，他们使用 CN=*.*.np.community.playstation.net 这节省了一些麻烦，只需从您的应用程序 user12 调用 openssl ？
[user12] openssl 库
[user12] 不是应用程序本身
[user12] 我为*所有* ssl 连接实时执行此操作
[user12] 因此，即使您使用网络浏览器，它也会生成证书
[user4] 你制作的好工具:)
[user12] 它的功能与“sslsniff”类似，但我的可以与 ps3 配合使用并正确记录
[user2] 首先，我认为 ppl 应该使用所有 3.5.5 和 355 字符串的替换，但关于用户代理，否则 psn 不会加载
[user2] user12 你使用哪些证书？
[user2] 我猜只有 05 ？
[user2] CA 我的意思是抱歉
[user12] user2：我都用了
[user12]固件版本在lv2中有一个地方不是“字符串”
[user12] 其“十进制”“035500”不确定其大小是 32 位还是 64 位，
[user2] 顺便说一句，你知道身份验证的登录网址如下：
[user12] 但这不是 ascii 3 它的十进制值
[user2] &serviceid=IV0001-NPXS01001_00&loginid=MYMAIL&密码=MYPASS&first=true&consoleid=MYID
[user12] 我有完整的身份验证日志
[user2] 您已经更改了“第一个”参数吗？
[user2] 我想知道它是做什么的
[user12]first=true 仅当您之前未登录过 psn 时才存在
[用户2] 啊，好的
[user12] 如果您之前已登录但需要新票证，则该信息会丢失
[user12] 票
[用户14]嗨
[user14]请不要连接
[user14] 到外部 dns ip
[user14] 使用你的 PS3
[user14]您的密码、电子邮件和其他数据在外部泄露
[user12] 您需要每个服务ID，这意味着如果您同步奖杯，您将获得一张门票，当您玩游戏时，您将获得第二张门票，当您观看Netflix时，您将获得第三张门票
[user14] 发送垃圾邮件的人可以使用此信息
[user12] 最有可能的是他们正在映射该主机
[user12] 如果只是固件检查，则不会，因为该 http（明文）请求中没有发送任何私人内容
[user12] 所以这取决于他们正在查看的主机
[user14] 发起垃圾邮件攻击
[user2] 嗯还没有检查票证的内容
[user2] 就像我使用票证时一样
[user2] 用于测试 POST
[user2] 我只与 1 人合作过
[user2]并且一直工作
[user2] 可能很多人都会识别该服务
[user12] 票证被发送到任何使用 psn 的游戏、netflix 等。这样您就不会向索尼以外的任何人发送凭据
[user2] 如果像你说的那样，那么这是另一个漏洞，哈哈
[user2] 因为我测试过第一张票是否有效
[user2] 你可以劫持会话
[user2] 我使用的票证和会话没有超时
[user2] 如果它总是像你说的那样创建一个新票证
[user2] 会有很多会话
[user12] 我还没有监控门票的有效期有多长，我知道 ps3 不会在应用程序之间重用它们，但这可能只是其编码方式（即使普通的 ps3 永远不会重用，它们也可能是有效的） ）
[user2] 为一个用户打开
[user12]它可能会在发布新版本时使旧版本失效，我从未看过
[user12] 我只知道我在应用程序启动时看到它得到了一个
[user2] 嗯对门票很奇怪
[user2] 我知道票证是由几个参数构建的
[user2] 序列号
[user2] 用户 ID
[user2] 发布敢
[用户2]服务ID
[user2]在线ID
[用户2]很多很多：P
[user12] 我还知道，处理 x-i-5 票证的服务器对密码的要求比索尼的任何其他系统都要严格一些
[user12] 如果索尼正在观看此频道，他们应该知道在具有已知漏洞的 Redhat 服务器上运行旧版本的 apache 是不明智的，特别是当该服务器自由报告其版本及其身份验证服务器时
[user2] 它不是旧版本，他们只是没有更新横幅
[user12] 我认为 apache 2.2.15 旧了
[user2] 哪个服务器
[user12]它也有已知的漏洞
[user12] auth.np.ac.playstation.net
[user2] 你通过横幅看到的显示版本不是真实版本
[user12] 除非他们在过去几周更新了它
[user12] 我对此表示怀疑，因为改变这一点并不容易
[user12] 它比像在其他服务器上那样将其设置为 Prod 更具侵入性
[user11] 你知道，观看这段对话让我思考使用 Visa 卡从 psn 购买几款游戏到底是不是一个好主意
[user2] 它只是向后移植的安全补丁
[user11] 不过，我在下载游戏后删除了所有信息
[user12] 那只是 psn 而不是商店
[user12] 他们也在那个机器上运行 linux 2.6.9-2.6.24
[user12] 这也太旧了
[user2] 哈哈@在商店购买
[user11] 是的，但他们对安全的总体态度似乎......呃
[user2] 索尼不会滥用我打赌的信息 xD
[user2] 但只是阻止使用未知 ppl 的 cfw
[user2] 比所有的人都更好
[user2] 自己制作哈哈
[user12] 所以我怀疑他们也在欺骗那个盒子上的网络堆栈
[user12] 我的猜测是它确实维护不足“它有效为什么要改变任何东西”
[用户2]可能是
[user12] 索尼确实应该将这些内容更新为更新的内容
[用户2]的
[user2] 但想象一下
[user2] psn == 45 环境
[用户2] 例如
[user2] 每个环境有 50 个子域
[user2] 到外部机器
[user2] 它的 rly rly 巨大
[user2] 谁想做这个 xD
[user2] ppl r 懒惰
[user2] 不会改变
留言