Вы используете устаревший браузер. Этот и другие сайты могут отображаться в нем неправильно. Необходимо обновить браузер или попробовать использовать другой.
[NEW]Скачать уязвимость на "Установка неразрушающего блока в любом пустом месте": (даже в чужом привате, иначе говоря можно засрать весь сервер блоком, который нельзя разрушить даже в креативе) Опасненько! [1.7/1.8] (c) TheKoljasВзять любой топор и правой кнопкой там, где хотите поставить блок.
Скачать уязвимость на"Выдачу любого предмета в игре": оПасно! [1.7] (c) saharin94 Открытие GUI клавишей H (если не работает - меняем в настройках управления).
"Бросает клоун тень голодную от смеха, на шумную толпу, в какой-то миг успеха. И тучи застилают над цирком небеса, и в чёрном чреве тают людские голоса."
"Игрок заходя на сервер, мог получить из воздуха любой предмет при этом не имея прав администратора". Иначе говоря, была обнаружена новая уязвимость.
Этой проблемой заинтересовалась одна группа людей (Шевчик, я, РедЕнерджи и другие)и мы начали изучать эту проблему, а точнее думать о том: "Как такое возможно?", "Что же это может быть?", "Где смотреть?", "Кто и что виновато в этом". После раздумий, мы приступили к поиску, а точнее мы начали смотреть исходный код ядра сервера, также модов. В итоге было обнаружено, что некоторые моды не очень правильно используют передачу данных между "клиент->сервер", а точнее клиент может поделать данные, что приведёт к печальным последствиям. В этой теме вы можете обнаружить список проблем, которые мы обнаружили и которые могут привести к печальным последствиям (на вашем сервере) если их вовремя не устранить.
===========================================
[Ядро forge]
ОБХОД РЕЖИМА online-mod до 1.6.4
Авторизация в ядре на фордж происходит так:
обем информации с онлайн режимом
потом обмен информации о модах между сервером и клиентом
после этого игрока логинит на сервере
Но очерёдность этого не проверяется, поэтому можно сразу начать фазу обмена информации о модах, и сервер вас пустит без каких-либо проверок. Иначе говоря если сервер использует стандартную авторизацию forge, то любой игрок зная данную уязвимость, может подменить данные и зайти под профилем любого игрока, даже администратора.
Скачать Фиксы:
Сейчас проверяется чтобы FMLModResponse шёл после FMLModRequest, а не когда захочется.
Этот фикс не совместим с модом pixelmon! [1.6/1.5/1.4] .jar (Требуется ProtocolLib 3.4.0)(c) Пупсик _Shevchik_ при поддержке Johnny Exidas [1.6] .class (c) TechoMan [1.6] .jar (c) limito
В этом моде есть возможность отправить один "секретный" пакет от игрока и можно заспаунить любой enity объект при этом не имея прав. Если выставить доступ только опам, то можно в принципе не бояться, при условии что нельзя отдельно зарегать ник админа в другом регистре.
===========================================
[Bibliocraft]
Также отправив пакет с клиента, можно получить абсолютно любой айтем в инвентарь при этом быть простым игроком.
Клиент может отправить пакет с координатами и если там пусто, а точнее нет блока, то сервер поставит блок в этом месте который нельзя разрушить даже в креативе. Иначе говоря в любое пустое место на сервере, даже в привате, можно поставить блок который указан в коде мода. [NEW]
Скачать Фиксы: [1.6.4](c) TechoMan & Firkys Фиксит: Первую и вторую проблему [1.7](c) saharin94 Фиксит: Первую проблему и вторую проблему
Скачать уязвимость на"Выдачу любого предмета в игре": апасна! [1.6] (с) RedEnergy Открывается GUI на кнопку L оПасно! [1.7] (c) saharin94 Открытие GUI клавишей H (если не работает - меняем в настройках управления).
[NEW]Скачать уязвимость на "Установка неразрушающего блока в любом пустом месте": (даже в чужом привате, иначе говоря можно засрать весь сервер блоком, который нельзя разрушить даже в креативе) Опасненько! [1.7/1.6] (c) TheKoljasВзять любой топор и правой кнопкой там, где хотите поставить блок.
===========================================
[AE и некоторые другие моды]
Большинство модов управляют своими тайлэнтитями через тот же пакет. Пересылают её координаты и пытаются её получить на сервере, соответственно при получении чанки загружаются/генерятся и координаты никак не проверяются, соответственно можно загрузить любой чанк по запросу. Иначе говоря вызывать дикие лаиа загрузив +200к чанков в секунду с помощью обычно игрока😁
Фикс:
Нужно выставить параметру loadChunkOnRequest: false в cauldron.yml
Скачать уязвимость "Ддос чанками xD": Апасненько! (с) TechoManTab + C to use
Я понимаю, что информация размыта и требует пруфы, но можете зайти на проекты centurymine, евгеха крафт, мс лаб и прочее и увидеть последние сводки новостей на их форумах. Либо сморите канал барта.
Во всех случаях используется пакет CustomPayload, он и позволяет шалить.
|=====================|
Отдельное спасибо людям за моральную поддержку и разную инфу также помощь в этом деле:
Shadow, bartolomeo, jampire, TechoMan и другим пупсикам.
Отдельное спасибо Шевчику за вечеринку.
На данном сайте используются cookie-файлы, чтобы персонализировать контент и сохранить Ваш вход в систему, если Вы зарегистрируетесь.
Продолжая использовать этот сайт, Вы соглашаетесь на использование наших cookie-файлов.
