ЭксплойтПревентер

Это мод структуры, который предотвращает известные эксплойты на стороне клиента.

. Отказ от ответственности: используйте этот мод на свой страх и риск. Сопровождающие не несут ответственности за какие-либо баны или другие последствия.

Если вас интересуют серверы или плагины, использующие эти эксплойты, загляните в Зал позора.

Остерегайтесь поддельных загрузок

Загрузите ExploitPreventer только с официальной страницы Modrinth: https://modrinth.com/mod/exploitpreventer
. Поддельные или неофициальные версии этого мода могут содержать вредоносный код.

Эксплойты

Этот мод на данный момент защищает от следующих эксплойтов:

• Уязвимость перевода знаков (и другая магия компонентов)
• Локальный HTTP-запрос через пакет ресурсов
• Снятие отпечатков пальцев устройства через пакет ресурсов

Уязвимость перевода знаков (и другие магические компоненты)

Ссылка: https://wurst.wiki/sign_translation_vulnerability

Сервер может обманом заставить клиента распознать ключи перевода и отправить разрешенный текст обратно на сервер. Это позволяет серверу узнать, какие моды установлены на клиенте (путем проверки ключей перевода или привязок клавиш для конкретного мода), а также языков игрока и т. д.

Наше исправление: мы не позволяем клиенту разрешать клавиши перевода и привязки клавиш на экране редактирования знака и наковальни.

Локальный HTTP-запрос через пакет ресурсов

Ссылка: https://alaggydev.github.io/posts/cytooxien/

Сервер может заставить клиента отправлять HTTP-запросы к любым IP-адресам, включая локальные службы (например, http://localhost:8080), отправив специально созданный URL-адрес пакета ресурсов. Сервер также может узнать, был ли запрос успешным или нет, или соответствует ли хэш SHA1 ответа определенному значению. Сервер может использовать это для определения того, какие локальные службы запущены на клиентском компьютере (например, маршрутизатор, телевизоры, ранее LiquidBounce).

Наше решение: мы блокируем URL-адреса пакетов ресурсов, которые указывают на локальные IP-адреса. В идеале мы хотели бы заблокировать все HTTP-ответы без надлежащего заголовка CORS (как в браузере), но это нарушит обратную совместимость.

Снятие отпечатков пальцев устройства с помощью пакета ресурсов

Ссылка: https://alaggydev.github.io/posts/cytooxien/

Сервер может злоупотреблять кэшем пакета ресурсов на стороне клиента для уникальной идентификации клиентов. Это позволяет серверу отслеживать пользователей в нескольких сеансах, даже если они меняют свое имя пользователя или IP-адрес.

Наше исправление: у каждой учетной записи будет свой собственный каталог кэша пакетов ресурсов. Таким образом, сервер не может сопоставлять пакеты ресурсов между разными учетными записями.

Обнаружение модов через каналы плагинов

Некоторые моды регистрируют каналы плагинов для связи с сервером. Серверы могут использовать эти каналы для обнаружения наличия определенных модов на клиенте. Такое поведение является намеренным и требуется для правильной работы многих модов (например, для конкретных функций мода, работы в сети или совместимости с плагинами на стороне сервера).

Поскольку эта информация явно раскрывается самим модом, этот мод не пытается заблокировать или скрыть регистрацию или использование канала плагина. Это нарушит законную функциональность мода и выходит за рамки этого проекта.

Другие моды

Есть и другие моды, которые пытаются сделать что-то подобное. Эти моды не рекомендуются, потому что они либо ждут моих патчей, чтобы можно было включить их в свои собственные моды, либо созданы полностью с использованием ИИ, либо являются просто дешевыми копиями моего мода.

Получение угроз смерти

Из-за характера этого проекта, направленного на выявление и защиту от эксплойтов, используемых некоторыми серверами, я получал угрозы смертью от людей, которые чувствовали угрозу со стороны этой работы. Эти угрозы серьезны и не остаются незамеченными.

. Однако они меня не остановят. Во всяком случае, получение угроз смертью только подтверждает, что этот проект бьет там, где это важно. Люди, отправляющие их, явно заинтересованы в сохранении этих подвигов и незащищенности игроков. Я буду продолжать поддерживать и улучшать этот мод, раскрывать новые уязвимости по мере их обнаружения и еще усерднее бороться за конфиденциальность и безопасность игроков. Запугивание здесь не сработает.

. Если вам известно, кто стоит за такими угрозами, сообщите об этом в соответствующие органы.

Отчетность

Если вы обнаружите обходной путь или какой-либо другой эксплойт на стороне клиента, свяжитесь с nikoverflow в Discord или отправьте электронное письмо на nikoverflow007@gmail.com. Включите краткое описание проблемы, четкие пошаговые инструкции по воспроизведению, версию Minecraft, которую вы использовали, а также все соответствующие журналы или снимки экрана.