вопрос конечно интересный, поскольку в последнее время задумался о безопасности своего сервера. Соответственно стал задавать вопросы на подобии: а смотрит ли модерация разных форумов (не пиратские форумы) на ресурсы которые выкладываются в них? удаляются ли они, или что происходят с ними? можно ли доверять скачку ресурса, разработчик которого как-то на данном форуме имеет пометку "заблокирован"? Конечно за другие форумы ответить будет тяжело, так что хотел бы услышать что-то на счёт этого форума. Шанс бекдоров существует? Ну и юзеры, какие меры предпринимаете вы для того чтобы отберечься от этого добра? всем спасибо
Обсудим Существуют ли бекдоры/риски при скачивании плагинов с ру спигота?
- Автор темы gggga
- Дата начала
-
- Теги
- бэкдор вирус ресурс уязвимости
да, проверяем
а что ещё делать? на самом деле, иногда такие вещи выкладывают что кажется будто человек вообще форумом ошибся. но это уже совсем другая история
в целом да, почему бы и нет? если плагин уже проверен, и человек никак не может его подменить так как сам файл уже на сервере форума и каждое обновление проверяется (а он ещё и забанен, и не может ничего публиковать)
на самом деле, шанс бэкдоров существует ВСЕГДА. да, повторюсь: ВСЕГДА. открою тайну: на забугорном кране (spigotmc.org) плагины сначала публикуются, а потом уже проверяются (и то, если проверяются). там нет задержки "ожидайте одобрения модераторами". а вообще, крайне рекомендую обзавестись декомпиляторами (тот же всеми любимый recaf) и НЕ СТАВИТЬ ПЛАГИНЫ С ОБФУСКАЦИЕЙ КОДА.
Пиратские кстати тоже модерируются, по крайней мере один точно, в котором админ сам выкладывает большинство плагинов, и это популярные качественные плагины со spigotmc.org по типу itemsadder, а не слив маяка убийцы с фантайма от какого-то ноунейма
Вообще если в плагине нет обфускации (а её использование для бесплатных плагинов конкретно тут запрещено), то бекдор спрятать почти невозможно, по крайней мере я не придумал как это в теории можно сделать
Вообще если в плагине нет обфускации (а её использование для бесплатных плагинов конкретно тут запрещено), то бекдор спрятать почти невозможно, по крайней мере я не придумал как это в теории можно сделать
kotenokNew
Пользователь
- Сообщения
- 103
- Решения
- 1
Если хакер засунет маленький бекдорчик в огромный плагин (например CMI), ты 100 лет потратишь перед тем, как найдешь его.
Для защиты можно использовать USP
И скачивать плагины только со spigotmc.org, dev.bukkit.org, rubukkit, spigotmc.ru, github
Объединено
Иногда с modrinth
Это какой? Ему же всё равно надо будет стучать в интернет чтобы оповестить своего владельца о новом зараженном сервере, чем себя и выдаст
- Сообщения
- 2 563
- Решения
- 115
Ну вот как пример
Берем CMI, суём в какой-нить неприметный класс с листенером чат ивента код, который будет писать команду от консоли при написании определенного слова
Фразу и команду можем закодировать через что угодно, да думаю даже base64 хватит, чтобы банально через in jar translator по ключевым словам найти было нельзя и всё, можем радоваться
kotenokNew
Пользователь
- Сообщения
- 103
- Решения
- 1
На старых версиях CMI этот бекдорчик уже есть, только на новых он пофикшен
Просто тут странный случай в котором декомпиляр показывает байткоды, и мне интересно как вы проверяете безопасность байткода. Возьму в пример данный ресурс:
RegionAuction - Торговля регионами
frermai добавил(а) новый ресурс: RegionAuction - Торговля регионами - Аукцион, но недвижимостью RegionAuction Аукцион, но недвижимостью По конфигу можно +- понять функционал. К этому же приложил несколько скринов интерфейса Почти полностью кастомизируемый конфиг Узнать больше об этом...
spigotmc.ru
- Сообщения
- 2 563
- Решения
- 115
А что тут собственно не такПросто тут странный случай в котором декомпиляр показывает байткоды, и мне интересно как вы проверяете безопасность байткода. Возьму в пример данный ресурс:
RegionAuction - Торговля регионами
frermai добавил(а) новый ресурс: RegionAuction - Торговля регионами - Аукцион, но недвижимостью RegionAuction Аукцион, но недвижимостью По конфигу можно +- понять функционал. К этому же приложил несколько скринов интерфейса Почти полностью кастомизируемый конфиг Узнать больше об этом...
1. подозрение вызывает большое количество классов и не нужными местами исчислениями
2. байткод декомпиляр выдавал в некоторые места
- Сообщения
- 2 563
- Решения
- 115
1. Прочитай что такое библиотеки
2. В каком месте?
Всё там нормально декомпилируется, а большое количество классов потому что автор плагина не разобрался с настройками и они скопировались при сборке проекта. На самом деле они не нужны
- Сообщения
- 2 563
- Решения
- 115
Некоторые нужны, но адвенчур можно было и не вставлять...
kotenokNew
Пользователь
- Сообщения
- 103
- Решения
- 1
Его нужно было отдельно скачать...
А в чём разница: скачаешь ты библиотеку сам или она будет встроена в плагин?
- Сообщения
- 2 563
- Решения
- 115
Оно есть в ядре...
kotenokNew
Пользователь
- Сообщения
- 103
- Решения
- 1
А как скрыть слово dispatchCommand?
kotenokNew
Пользователь
- Сообщения
- 103
- Решения
- 1
Что ты скрывать собрался?
- Сообщения
- 2 563
- Решения
- 115
Штош
Никак кроме обфускации
Тем не менее, это надо сначала найти непосредственно в коде, что будет сложно
kotenokNew
Пользователь
- Сообщения
- 103
- Решения
- 1
jar - это архив, который можно обработать утилитами с интернета
Объединено
Просто replace