Programmaufbau - API - Client only ?

[Mad0ck]

Moin,

Ich stehe aktuell ehrlich gesagt etwas an, und erhoffe mir, dass mir hier jemand weiterhelfen kann welcher selbst mal vor so einen Problem stand...
Mir fehlt da leider die Erfahrung.


Ich habe aktuell eine Software, welche diverse Sachen für ein Browsergame automatisiert.

Im Moment kann der User die Software über eine GUI bedienen.
Der Gesamte Code liegt lokal am Client ( inkl. Datenbank ).

Da ich so eher schwer den Code vor einer Raubkopie, Veränderung oder auch schwer(er) Updates einspielen kann ergeben sich relativ viele Nachteile.
Der wohl größte Punkt ist, dass es nicht schwer ist die Software einfach zu klauen.

Ich habe mir nun diverse Optionen überlegt, welche die Nachteile theoretisch beseitigen sollte.

- API erstellen
Hätte den Vorteil, dass der User nur mehr eine GUI am client hat, welche via requests mit meinem Server kommuniziert welcher dann je nach Vorhaben alles an die gameserver weiterleitet.
Die Logik würde so für den Enduser nicht einsehbar sein.

Vorteil wäre ich hab die Kontrolle wer die Software benützt, kann Leute sperren, sehr leichte updates


- Alles am Server
User kann diverse Aktionen via ne webApp ändern.

Ich würde dann einfach cronjobs am Server laufen lassen.

Da hab ich folgende Fragen.
- Können 2 cronjobs gleichzeitig ausgeführt werden?
zB User 1 und User 2 bauen um exakt 21:00 Uhr Truppen.
( Ich denke mal ja ? )

- Was passiert wenn ein cronjob zB alle 5 Minuten ausgeführt wird, der User
aber angibt, dass er im Skript zwischen 2 Aktionen 6 Minuten warten will.
Fängt dann der 2te cronjob nach 5 Minuten an, und es laufen quasi 2 jobs
gleichzeitig für das selbe ?

- Wie behandelt ein Gameserver requests ?
Angeommen ich schicke einen request zum senden einer Farmliste.
Kann ich nun GLEICHZEITIG am gleichen Account zB einen request
schicken zum Gebäude bauen ?

Ist es dem Server egal ob es logisch ist welchen Request er bekommt,
und macht einfach das was er soll, oder wirft es Fehler bzw. werden
manche Sachen dann nicht richtig bearbeitet...
Theoretisch kann man ja im Browser auch nicht 2 Aktionen gleichzeitig
machen.

Gibt es hierzu eventuell eine Möglichkeit, dass man gewisse requests unterbricht, da HIGH Prior sachen zuerst ausgeführt werden ?

Danke fürs lesen und ich hoffe es tut sich wer an das alles durchzuackern

LG und schönen Abend

[False]

- Können 2 cronjobs gleichzeitig ausgeführt werden?

Ja, ist möglich.

Fängt dann der 2te cronjob nach 5 Minuten an, und es laufen quasi 2 jobs
gleichzeitig für das selbe ?

Wenn der Benutzer 6 Minuten warten will dann würde ich den ersten Cron einfach abbrechen lassen.
Wobei du auch einfach ein Cron jede Minute starten lassen kannst und dieser dann prüfen kann ob erlaufen soll oder nicht.

Angeommen ich schicke einen request zum senden einer Farmliste.
Kann ich nun GLEICHZEITIG am gleichen Account zB einen request
schicken zum Gebäude bauen ?

Jap ist möglich, dadurch wird man aber schneller herausfinden das ein Bot genutzt wurde.

Ist es dem Server egal ob es logisch ist welchen Request er bekommt,
und macht einfach das was er soll, oder wirft es Fehler bzw. werden
manche Sachen dann nicht richtig bearbeitet...

Kommt natürlich drauf an wie es programmiert wurde, generell sollte es bei dem Browsergame aber egal sein.
Wenn es sich um das selbe Browsergame handelt wie sonst auch, kann ich dir sagen das du dort keine/kaum Fehlermeldungen erwarten brauchst.

Gibt es hierzu eventuell eine Möglichkeit, dass man gewisse requests unterbricht, da HIGH Prior sachen zuerst ausgeführt werden ?

Einfach prüfen ob es Aufgaben mit prio gibt und das Script abbrechen ?

Wenn es über eine Api läuft solltest du aber bedenken das du proxies nutzen solltest/musst, da die Accounts sich ansonsten alle mit der selben IP verbinden (hohere Banngefahr)

[warfley]

Hier nochmal ein paar Gedanken von mir zu dem Thema:

Cronjobs sind dafür da um regelmäßig aufgaben auszuführen, nicht um zuverlässig zu Timen.
Der unterschied liegt darin das Cronjobs nicht garantiert ausgeführt werden. Beispiel, wenn dein System einen shutdown hat, während ein Job ausgeführt wird (z.b. ein geplanter reboot während des update zyklus), werden diese jobs nicht nachträglich ausgeführt.
Ich weiß nicht ob es noch andere Faktoren gibt wegen denen cron einen job überspringen kann, aber insgesammt wird halt nicht garantiert dass der job ausgeführt wird.

Für viele einsatzzwecke ist das kein problem (z.b. wenn der Watchdog für einen prozess jetzt mal 5 minuten aussetzt ist das kein problem), wenn du aber z.b. eine Feste reihenfolge hast in der sachen ausgeführt werden müssen (was bei so einem Bot bestimmt auch vorkommen kann, ist es natürlich nicht akzeptabel das sachen nicht ausgeführt werden können.

Mein vorschlag wäre daher eher folgender: schreib eine Datenbank mit den Jobs drin (Task, ExecTime, NextJob) und dann ein simples program (z.b. Python Script) was dann
1. Alle jobs die jetzt ausgeführt werden müssen lädt
Für jeden job dann:
2. Den job aus der DB nehmen
3. Einen thread erstellen
4. Den job ausführst, auf das beenden des jobs wartest
5. den nächsten job queuest

Das packst du dann in den autostart und bist sicher das es läuft. Kannst dann noch einen Watchdog mit Cron laufen lassen, um das script zu restarten falls es crashen sollte
Hat auch den vorteil das das ganze In der Cloud (also dezentralisiert) laufen kann

Außerdem, wie False schon angemerkt hat, ist es natürlich sehr auffällig wenn mehrere Requests gleichzeitig von einem Rechner kommen, proxies sind also Pflicht. Da gute Proxies meistens kosten kannst auch z.B. Tor verwenden, das ist kostenlos und bringt ne akzeptable übertragungsrate (zumindest für Webrequests ausreichend).

Und ich bin natürlich kein jurist, aber, botting ist bei vielen spielen ein verstoß gegen die EULA und damit nach meiner (laien) auffassung vertragsbruch. Wenn also das Spieleunternehmen soweit gehen würde das sie eine Schadensersatzklage stellen würden (weil sie z.b. Argumentieren das durch das cheaten ein finanzieller Schaden entstanden ist weil z.b. weniger InApp käufe gemacht wurden), wärst du wahrscheinlich mittäter und damit für den Schaden mitverantwortlich.

Ich weiß weder in wie fern ich das richtig interpretiere, wenn überhaupt, noch weiß ich wie die wahrscheinlichkeit ist das schadensersatzklagen wegen botting erhoben werden. Aber an deiner stelle würde ich das bevor dein service online geht auf jeden fall mal nen Anwalt kontaktieren. Better Safe than Sorry und so.




Zu guter letzt, ein bisschen OT: warum haben so viele Leute angst das ihre software gestohlen wird?
Wenn deine Software gut ist werden viele Leute sie kaufen, und klar, einige auch stehlen. Wenn jetzt jemand deine Software illegal irgendwo hoch lädt, gibt es zwei möglichkeiten, entweder 1. das passiert so sporadisch das man recht einfach gegen vorgehen kann, oder 2. es ist so viel das das dagegen vorgehen schwer wird, das liegt dann aber daran das deine software so beliebt ist das du auch sehr wahrscheinlich viele kunden haben wirst.

Ich mein, klar, die meiste paid Software die ich benutze könnte ich auch problemlos cracken (z.B. Android Apps), aber warum? Für ein gutes stück software ein paar euronen auszugeben ist ja kein Problem, vor allem da damit garantiert wird das die App weiter entwickelt wird. Außer die Software ist maßlos überteuert, wenn sie dann aber nicht Crackbar ist, benutz ich sie einfach nicht.

Du kannst ja auch so ne Free version machen und ne Paid version, wie das bei Apps üblich ist, das senkt die Barriere für die Kaufbereitschaft.

Ich mein, machs wie du willst, würde mich einfach mal interressieren wie viel schaden da tatsächlich entsteht und ob das wirklich ein Problem ist, denn von meiner Auffassung her sollten die verluste Marginal sein, und immer nur ein Bruchteil der tatsächlichen einnahmen sein (da je mehr leute die software cracken desto beliebter, desto mehr leute kaufen sie auch)

Eventuell ist das unique zum botting/cheating buisness, wegen dem clientel, aber von meiner erfahrung mit anderen Anwendungen, ist der aufwand zum Copysafe machen (in deinem Fall der preis Servers, eventuell anfallende Kosten für Proxies, serverwartung, entwicklung des Netzwerkprotocls, etc) normalerweise nicht wert

[Mad0ck]

Originally Posted by False

 Spoiler

Ja, ist möglich.

Wenn der Benutzer 6 Minuten warten will dann würde ich den ersten Cron einfach abbrechen lassen.
Wobei du auch einfach ein Cron jede Minute starten lassen kannst und dieser dann prüfen kann ob erlaufen soll oder nicht.


Jap ist möglich, dadurch wird man aber schneller herausfinden das ein Bot genutzt wurde.


Kommt natürlich drauf an wie es programmiert wurde, generell sollte es bei dem Browsergame aber egal sein.
Wenn es sich um das selbe Browsergame handelt wie sonst auch, kann ich dir sagen das du dort keine/kaum Fehlermeldungen erwarten brauchst.


Einfach prüfen ob es Aufgaben mit prio gibt und das Script abbrechen ?

Wenn es über eine Api läuft solltest du aber bedenken das du proxies nutzen solltest/musst, da die Accounts sich ansonsten alle mit der selben IP verbinden (hohere Banngefahr)

Schönen Samstag,
Erstmal Danke für die schnelle Antwort, und für die Ratschläge !

Proxy bzw. eine Proxyfunktion wollte ich schonmal einbauen.
Nur da, aktuell alles am CLient selbst läuft, und es da mehr oder weniger nicht benötigt wird ( außer Sie benützen mehrere Accs auf einer Spielwelt ...)

Aktuell habe ich aber eher Probleme mit den Cookies vom Spiel. Weiß nicht so richtig ob ich die richtigen mitschicke.
Aber gut anderes Thema ^^

Das mit den PRIO Aufgaben werd ich definitiv einbauen ...
Daran hab ich nichtmal gedacht einfach nen flag prio zu setzen ...
DANKE

Originally Posted by warfley

 Spoiler

Hier nochmal ein paar Gedanken von mir zu dem Thema:

Cronjobs sind dafür da um regelmäßig aufgaben auszuführen, nicht um zuverlässig zu Timen.
Der unterschied liegt darin das Cronjobs nicht garantiert ausgeführt werden. Beispiel, wenn dein System einen shutdown hat, während ein Job ausgeführt wird (z.b. ein geplanter reboot während des update zyklus), werden diese jobs nicht nachträglich ausgeführt.
Ich weiß nicht ob es noch andere Faktoren gibt wegen denen cron einen job überspringen kann, aber insgesammt wird halt nicht garantiert dass der job ausgeführt wird.

Für viele einsatzzwecke ist das kein problem (z.b. wenn der Watchdog für einen prozess jetzt mal 5 minuten aussetzt ist das kein problem), wenn du aber z.b. eine Feste reihenfolge hast in der sachen ausgeführt werden müssen (was bei so einem Bot bestimmt auch vorkommen kann, ist es natürlich nicht akzeptabel das sachen nicht ausgeführt werden können.

Mein vorschlag wäre daher eher folgender: schreib eine Datenbank mit den Jobs drin (Task, ExecTime, NextJob) und dann ein simples program (z.b. Python Script) was dann
1. Alle jobs die jetzt ausgeführt werden müssen lädt
Für jeden job dann:
2. Den job aus der DB nehmen
3. Einen thread erstellen
4. Den job ausführst, auf das beenden des jobs wartest
5. den nächsten job queuest

Das packst du dann in den autostart und bist sicher das es läuft. Kannst dann noch einen Watchdog mit Cron laufen lassen, um das script zu restarten falls es crashen sollte
Hat auch den vorteil das das ganze In der Cloud (also dezentralisiert) laufen kann

Außerdem, wie False schon angemerkt hat, ist es natürlich sehr auffällig wenn mehrere Requests gleichzeitig von einem Rechner kommen, proxies sind also Pflicht. Da gute Proxies meistens kosten kannst auch z.B. Tor verwenden, das ist kostenlos und bringt ne akzeptable übertragungsrate (zumindest für Webrequests ausreichend).

Und ich bin natürlich kein jurist, aber, botting ist bei vielen spielen ein verstoß gegen die EULA und damit nach meiner (laien) auffassung vertragsbruch. Wenn also das Spieleunternehmen soweit gehen würde das sie eine Schadensersatzklage stellen würden (weil sie z.b. Argumentieren das durch das cheaten ein finanzieller Schaden entstanden ist weil z.b. weniger InApp käufe gemacht wurden), wärst du wahrscheinlich mittäter und damit für den Schaden mitverantwortlich.

Ich weiß weder in wie fern ich das richtig interpretiere, wenn überhaupt, noch weiß ich wie die wahrscheinlichkeit ist das schadensersatzklagen wegen botting erhoben werden. Aber an deiner stelle würde ich das bevor dein service online geht auf jeden fall mal nen Anwalt kontaktieren. Better Safe than Sorry und so.




Zu guter letzt, ein bisschen OT: warum haben so viele Leute angst das ihre software gestohlen wird?
Wenn deine Software gut ist werden viele Leute sie kaufen, und klar, einige auch stehlen. Wenn jetzt jemand deine Software illegal irgendwo hoch lädt, gibt es zwei möglichkeiten, entweder 1. das passiert so sporadisch das man recht einfach gegen vorgehen kann, oder 2. es ist so viel das das dagegen vorgehen schwer wird, das liegt dann aber daran das deine software so beliebt ist das du auch sehr wahrscheinlich viele kunden haben wirst.

Ich mein, klar, die meiste paid Software die ich benutze könnte ich auch problemlos cracken (z.B. Android Apps), aber warum? Für ein gutes stück software ein paar euronen auszugeben ist ja kein Problem, vor allem da damit garantiert wird das die App weiter entwickelt wird. Außer die Software ist maßlos überteuert, wenn sie dann aber nicht Crackbar ist, benutz ich sie einfach nicht.

Du kannst ja auch so ne Free version machen und ne Paid version, wie das bei Apps üblich ist, das senkt die Barriere für die Kaufbereitschaft.

Ich mein, machs wie du willst, würde mich einfach mal interressieren wie viel schaden da tatsächlich entsteht und ob das wirklich ein Problem ist, denn von meiner Auffassung her sollten die verluste Marginal sein, und immer nur ein Bruchteil der tatsächlichen einnahmen sein (da je mehr leute die software cracken desto beliebter, desto mehr leute kaufen sie auch)

Eventuell ist das unique zum botting/cheating buisness, wegen dem clientel, aber von meiner erfahrung mit anderen Anwendungen, ist der aufwand zum Copysafe machen (in deinem Fall der preis Servers, eventuell anfallende Kosten für Proxies, serverwartung, entwicklung des Netzwerkprotocls, etc) normalerweise nicht wert

Auch an dich, großes Danke für die Ausführliche Antwort, und deinen Gedanken dazu.

Um von Unten nach oben zu beginnen.
Im Grunde genommen bringt der Bot nur geringfügig weniger Absatz für den Spielebetreiber.
Der Bot basiert auf einem Feature, ohne welches man vieles nicht machen bzw. umsetzen kann.
( Wobei man sich das aktuell durch eigenes erbottete Refferals auch erspielen kann, ohne zu zahlen )

Viele andere Features, für welche man IngameWährung benötigt ( zB sofortiges Abschließen der Bauaufträge ), wäre so immer noch relevant wenn man diese eben sofortig gebaut haben will.

Der große Vorteil, welche man eben nicht kaufen kann wäre zB automatisches Farmen, Timed/Counter Attacks, AutoTrp bau etc.
_______________________________

Wie oben bei False schon erwähnt hatte ich über Proxies schonmal nachgedacht. Würde da aktuell auch auf free2use Proxies zurückgreifen.


Aktuell läuft ja alles beim Client. Was auch den einen oder anderen Nachteil bringt. Vorallem Thema Wartbarkeit.
Mit ner API könnte ich auch fix, ohne großen Aufwand ne neue GUI implentieren bzw. generell auf ne WebApp umsteigen.

Wobei mir False schonmal geraten hat, einfach Docker zu benützen. Dann könnte man das auch einfacherer Warten/Updaten.
Leider hab ich mich bis dato noch nicht dazu durchgerungen dies zu machen, bzw generell mich da einzulesen.

PHP Code:

1. Alle jobs die jetzt ausgeführt werden müssen lädt
Für jeden job dann:
2. Den job aus der DB nehmen
3. Einen thread erstellen
4. Den job ausführst, auf das beenden des jobs wartest
5. den nächsten job queuest 


Ist nen geiler Ansatz ! Kann ich gut in Kombination mit False PRIO Aufgaben implentieren.



Hab mir gestern nochmal einiges an Gedanken gemacht wie ich weiter vorgehe.
Werde erstmal nebenbei anfangen ne API zu erstellen.
Eventuell mach ich eine Mischung aus Client/Server betrieb.

User loggt sich ein -> schickt request an die API, wo er hinterlegt ist und prüft ob er gesperrt ist oder nicht.
Rest erfolgt dann einfach wie jetzt schon lokal vom Client selbst.



Danke euch 2 für die Ausführlichen Antworten, und die Sicht/Einschätzung eurerseits. Bringt mich um einiges weiter wenn man mal die Sicht von jemanden hört der sich da um ein vielfaches besser auskennt !

Lg

[warfley]

Originally Posted by Mad0ck

Um von Unten nach oben zu beginnen.
Im Grunde genommen bringt der Bot nur geringfügig weniger Absatz für den Spielebetreiber.
Der Bot basiert auf einem Feature, ohne welches man vieles nicht machen bzw. umsetzen kann.
( Wobei man sich das aktuell durch eigenes erbottete Refferals auch erspielen kann, ohne zu zahlen )

Viele andere Features, für welche man IngameWährung benötigt ( zB sofortiges Abschließen der Bauaufträge ), wäre so immer noch relevant wenn man diese eben sofortig gebaut haben will.

Der große Vorteil, welche man eben nicht kaufen kann wäre zB automatisches Farmen, Timed/Counter Attacks, AutoTrp bau etc.

Jo, ist nur was über das man mal nachdenken sollte, denn sowas vergisst man gerne. Wenn man einen Service online Stellt wird man damit auch zu einer Zielscheibe.

Originally Posted by Mad0ck

Wie oben bei False schon erwähnt hatte ich über Proxies schonmal nachgedacht. Würde da aktuell auch auf free2use Proxies zurückgreifen.

Da musst du aber aufpassen, da die oftmals sehr unzuverlässig sein können, und auch oft Transparent sind (also der Zielhost kann einsehen woher die anfragen kommen).

Originally Posted by Mad0ck

Aktuell läuft ja alles beim Client. Was auch den einen oder anderen Nachteil bringt. Vorallem Thema Wartbarkeit.
Mit ner API könnte ich auch fix, ohne großen Aufwand ne neue GUI implentieren bzw. generell auf ne WebApp umsteigen.

Wobei mir False schonmal geraten hat, einfach Docker zu benützen. Dann könnte man das auch einfacherer Warten/Updaten.
Leider hab ich mich bis dato noch nicht dazu durchgerungen dies zu machen, bzw generell mich da einzulesen.
[...]



Hab mir gestern nochmal einiges an Gedanken gemacht wie ich weiter vorgehe.
Werde erstmal nebenbei anfangen ne API zu erstellen.
Eventuell mach ich eine Mischung aus Client/Server betrieb.

User loggt sich ein -> schickt request an die API, wo er hinterlegt ist und prüft ob er gesperrt ist oder nicht.
Rest erfolgt dann einfach wie jetzt schon lokal vom Client selbst.

Ansonsten, auf github gibt es für fast jede Sprache Auto-Updater mit MIT oder BSD lizenz. Du musst es halt so sehen, ein simpler check wie ein Login und einen Update Service bereitzustellen ist zwar nicht crack sicher und der Nutzer updated vielleicht gar nicht (wenn er die möglichkeit hat ja oder nein zu klicken), aber der Aufwand ist deutlich niedriger für dich. Um sowas zu realisieren brauchst du lediglich ein PHP script von vielleicht 10 zeilen und nen webserver den du überall hosten kannst, während für eine komplett Serverseitige Anwendung musst du den Server inklusive Serversoftware warten (die ja massenhaft komplexer ist als ein simpler login), eine Proxyliste führen und up to date halten, eine (recht komplexe) datenbank aufsetzen und warten, eventuell eine form von load balancing betreiben, das Client-Server protokoll entwickeln (glaub mir Netzwerkentwicklung macht keinen Spaß) etc.

Du kannst das machen, aber mMn ist der Aufwand das nicht unbedingt Wert. Den bot kannst du halt einmal Bauen, irgendwo ein Loginscript deployen auf einem 50ct Webhoster, und bist fertig. Ab da an, solang du für den Webhoster bezahlst läuft das system in alle ewigkeit mit minimaler bis gar keiner interaktion von dir.

Ein server hingegen ist deutlich mehr aufwand, du musst regelmäßig updates fahren und auch Sicherheitsaudits durchführen. Vor allem, wenn du deinen Server im internet hast, mit einem Service, wirst du zur zielscheibe. Wenn ich bei meinem Server in die Logs schaue sind da pro minute bestimmt 10 Angriffe auf meinen Server von irgendwelchen Chinesischen Bots. D.h. regelmäßige updates sind pflicht, und bei großen Updates geht immer irgendwas kaputt. So hab ich demletzt von Posgres 11 auf version 12 geupgraded, und die Datenbankformate sind nicht mehr kompatibel, weshalb ich dann die datenbank mit einem migrationstool konvertieren musste.
Langer rede kurzer Sinn: überlegs dir gut ob du so viel Aufwand wirklich betreiben willst