veo que has escrito en los temas sobre CE pero no has leído ningún comentario... te lo explico así...

los juegos online son juegos con esquema cliente-servidor... que quiere decir esto?

tu (cliente) descargas un aspecto gráfico, y te conectas por el... el servidor te da conexión y te manda todos tus datos, entonces tu aspecto gráfico los muestra... si haces un cambio, ej. una compra, el dato se manda al servidor, el servidor hace los cambios pertinentes y te manda el resultado para que tu aspecto gráfico muestre la realidad (la realidad son los datos contenidos en el servidor)


si forzas el aspecto gráfico a mostrar algo diferente no habrá cambio real, ya que solo es ficción (es como que te metas a la pagina del banco, busques tu balance lo guardes y edites en photoshop para mostrar que tienes 50.000€, es solo algo visual, lo real está guardado en el banco y ellos llevan el registro)... así mismo con CE solo cambiarás el aspecto gráfico... ningún cambio real será hecho ya que el servidor es quien lleva los datos...

por CE simplemente no vas a lograr nada... tendrías que analizar los paquetes, analizar el ejecutable o intentar hackear el servidor (y en este ultimo caso no es para ponerte puntos, sino para llevarte las tarjetas de crédito reales jejeje)

claro está que esas 3 opciones no son ni remotamente tan simples como CE que es bastante basico (o por lo menos para lo que lo usas)

como que el flash lo emula con un php... si dices que el fondo del flash está en php, no es emular... así es como funciona...

los 4 puntos que describes son arquitectura cliente-servidor correcta, no veo problemas allí... el flash que se descarga es el famoso "cliente" del que te hablo...

si lo descompilan no hay problema porque solo obtendrán lo que hace el cliente (y en general para alguien con un minimo de conocimientos, es mayormente obvio lo que se va a conseguir)

si tienes el codigo del flash del cliente y el php del servidor, no es necesario andar buscando explotar por herramientas de terceros...

simplemente conociendo los pasos que requiere el cliente para hacer algo, simulalos y busca un lugar donde se salte alguna verificación... lee el codigo y busca algún punto donde se pueda enviar algo que el servidor no espere o que dé puntos indebidamente... busca los metodos debidos y normales para generar puntos y leyendo el codigo verás si un cliente repite una accion x veces si genera x puntos "ilegales"

XD empezar a usar herramientas para testear algo de lo que conoces el código y puedes analizar con pruebas personalizadas es como intentar matar una mosca a escopetazos XD