魔兽世界：解密电子骨灰盒，理性分析保存个人存档的重要性

暴雪在国服开放了个人进度保存系统，无论你对此怎么看，网上玩家如何评价，小O觉得还是要理性地给大家分析一下这个系统的重要性。本文前半部分是来自NGA安杜拉对于该系统的分析，后半部分是小O自己对该系统的理解和总结，希望大家都能仔细看看。

作者是国内某大型企业安全部门的，而且还晒过工作证（后来又删了），具有较高的可信度。

来源：NGA - 安杜拉

首先声明下不是胡乱推测，目前拿到了几个信任朋友的waf文件，和其他安全的朋友也一起大致做了一些判断，当然这些没法验证，就当给个参考。

进度存档文件里存的东西

waf文件中包含了两部分内容：

角色列表，只包含了名字、等级、职业；

加密的大量数据，对比了几份朋友的文件，并了解了各自的角色数量、收集情况后，大致可以判断到，这些加密数据中，应该是包含了具体的收集情况。根据情况的增长，文件大小也从80kb-200kb有所增长。

第一反应这个文件大小偏小，其实整理了账号角色需要保存的信息，并不太多，魔兽世界中所有的法术、物品、收集品都是有唯一id的，具体如下表

只需要保存id的情况下，其实一个账号也就需要保存几万的id及一些相关信息即可。使用一些方法加密后，这个文件大小是没问题，甚至应该还可以保存其他的额外信息。

进度存档文件的功能和一些问题

1、存档文件的加密方式是什么，能不能破解改出来全收集号

和安全口的朋友探讨，根据暴雪短期内开发出来的情况，以及加密后的形式，基本判断暴雪是通过使用服务器端的密钥进行了信息加密(这里做了几轮，使用哪种加密方式不确定)，并进行了校验码添加后，给到了玩家下载。

基于此，要修改存档获取额外东西是比较困难的，一是没有服务器端的密钥和加密轮数，二是即使判断到了加密方式，服务器端一般都会有专门的校验码，修改后如果校验不通过也是没有效果。虽然经常黑暴雪阿三程序员，但做到这一步都是比较常规的操作，不至于做的太粗糙。

2、存档里有没有个人账号信息？

获取存档文件是在游戏角色界面，这个步骤时，已经不涉及账号信息，理论上这个文件中，仅有游戏相关数据，不会有个人信息(账号密码，以及身份证、手机号等)。

3、这个存档文件能用来干什么

文件中包含了角色有用的收集数据(也就是暴雪认为的进度)，在有解密方式的情况下，可以在任何一个魔兽服务器上进行导入，不限于未来新代理开的国服还是其他外服。

4、暴雪应该能在服务器上拿到角色数据快照，网易应该也会保存玩家数据，为何需要玩家自己保存

首先要明确一个信息，玩家的数据，其实可以分为两部分，一部分是账号数据，一部分是游戏数据，前者即账号密码，以及身份证、手机号、战网点等，后者才是本次保存的进度存档内容。

目前以国内的法规和合作的情况下，暴雪只能拿到后者数据，这样即使有快照，也不能进行玩家验证。让玩家持有时，有了一个可把控的判断机制。

两个可能的用处:

未来新代理需要很久，网易方没有义务维护保存过久时间，玩家可以在新代理的服务器上用存档文件恢复。

确实无法再找到代理，在外服开辟一个服务器，允许用这个码导入。

小O说

按照作者的说法，这个“电子骨灰盒”不含用户信息只含游戏数据，如果国服新代理过度顺利而且数据转移没有任何问题，那么这个东西就相当于没用的。但是将来如果出现账号数据丢失等极小概率的情况，那么这个个人进度存档就十分重要。举个例子，在新旧代理的交接过程数据转移过程中，我的数据意外丢失或者损坏，那么我就可以将手中的文件上传到服务器来进行恢复，而如果我没有下载这个存档，那么我的数据可能就消失，无论如何也找不回了。

所以这个东西，不需要的时候完全没用，需要它起作用的时候如果没有就很要命。

另外一方面，这个存档文件的上传和恢复是不需要校验是否是本人数据的（因为没有存储用户资料所以无法校验）。万一最坏的情况如果发生，暴雪在国内一直找不到新代理，国服就此终结，那么届时暴雪可以在外服开放这个功能，让国服玩家把数据上传上去继续游戏。

由于存进度会锁定账号无法继续游戏，小O建议大家还是在确定不再上线的时候存一存，有备无患。当然如果你决定就此告别魔兽世界，那么就无所谓了。