Velocity Sunucularda "/server" Komutu ile Şifresiz Giriş Açığını Kapatma!

  • Konu başlatıcı Konu başlatıcı @RosherOfficial
  • Başlangıç Tarihi Başlangıç Tarihi
  • Görüntülenme Görüntülenme 11 Görüntülenme

@RosherOfficial

Demirci
MC Yaşı
1 gün
Mesaj Sayısı
52
Konu Sayısı
10
Beğeni Sayısı
35
Trade Sayısı
0
Memleket
İstanbul
Bugün sizlere, özellikle Velocity ve BungeeCord tabanlı ağ sunucularının (Network) başına bela olan, yetkisiz kişilerin /server <sunucu_adı> komutunu kullanarak AuthMe (giriş) aşamasını atlatıp doğrudan oyun sunucularına bağlanabildiği kritik bir güvenlik açığından ve çözümünden bahsedeceğim.

Bazı proxy yapılandırmalarında oyuncular, giriş yapmadan önce bile /server komutunu kullanabiliyorlar. Bu durum, kötü niyetli bir kişinin lobi sunucusunda şifre girmeden /server survival yazarak doğrudan oyun dünyasına ışınlanmasına ve başkasının hesabı üzerinden (Adminler dahil!) sunucunuza erişmesine neden olur.

Bu açığı kapatmanın en hafif ve etkili yollarından biri CommandDefender eklentisidir. Bu eklenti sayesinde giriş yapmamış veya yetkisi olmayan oyuncuların belirli komutları (özellikle proxy komutlarını) kullanmasını tamamen engelleyebilirsiniz.


  1. Eklentiyi SpigotMC üzerinden indirin.
  2. Eklentiyi Çakma Lobi veya Auth lobiniz hangi sunucu ise o sunucunuzun plugins klasörüne atın.
  3. Sunucuyu yeniden başlatın veya eklentiyi yükleyin.
  4. Aşağıda verdiğim yapılandırma dosyasını (config) ve (messages.yml) size verdiğim şekilde güncelleyiniz.
  5. Eklenti config ve mesaj dosyasını güncelledikten sonra tekrar sunucunuzu yeniden başlatın.
Umarım bu paylaşım sunucunuzun güvenliğini sağlamanıza yardımcı olur. Sorularınız veya takıldığınız bir yer olursa konu altından sormaktan çekinmeyin!

İyi forumlar dilerim.
# Welcome to CommandDefender's settings.yml file - this is the main configuration where you can change a lot
# of settings to make CommandDefender best suit your server's requirements. Please, read the wiki before
# editing this file (linked below). Thank you!
#
# ----------------------------------------------------------------
# Read the Wiki -> https://github.com/lokka30/CommandDefender/wiki
# ----------------------------------------------------------------

# Create a list of allowed/denied commands ordered by priority (1 = highest).
# Please check the Wiki on how to use this if you are not already familiar. The Wiki URL is linked at the top.
priorities:

# Setting this to 'false' disables CommandDefender from checking the lists below and thus will not block any commands
# with exception of the 'block-colons' setting below and also the permissions to block commands which can also be
# toggled below, see 'enable-allow-deny-permissions'.
enable-command-blocking: true

# Setting this to 'false' makes CommandDefender not filter through the command suggestions system in 1.13+ servers.
# For 1.7-1.12 servers this option does not do anything because 1.13 added such system.
#
# Note, that if you have 'block-colons' enabled, CommandDefender will still remove '/<plugin>:<command>'-type
# suggestions, thus overriding this setting for that type of command suggestion.
enable-command-suggestion-filtering: true

1:
mode: DENY

list:
# Bukkit-provided commands that are able to display installed plugins.
- '/plugins'
- '/pl'
- '/version'
- '/ver'
- '/icanhasbukkit'
- '/about'
- '/?'
- '/help'

# Other commands you may want blocked.
- '/ehelp'
- '/server'
- '/glist'
- '/send'
- '/velocity'
# Please do edit/remove this list, as it is only provided by CommandDefender as an example for the argument handling system.
2:
mode: DENY

list:
- '/abc 123'
- '/def 456 789'
- '/example1 *'
- '/example2'

deny-message:
- '%prefix% This is an example deny message which overrides the one set in messages.yml specifically for this list.'

# If a command is not allowed/blocked in the priorities above, should the command be allowed (ALLOW) or denied (DENY)?
unlisted: ALLOW

# You can toggle whether CommandDefender checks if the user has a 'force-allow' or 'force-deny'
# permission for each command your users run here.
# Note that these permissions allow/deny only function on the command, not the arguments. e.g. you can only allow/deny
# '/island' with these permissions, you can't block individual arguments such as '/island home'. Note that each prioritised
# list can have a bypass permission though.
enable-allow-deny-permissions: true

# Block colons (:) in the first argument of commands? e.g. block /bukkit:plugins
block-colons: true

# Run the update checker on startup?
# Asynchronous (doesn't halt your server startup), will check once, and only send one warning message if an update is found.
check-for-updates: true

# Do not touch this value unless you are fully aware with what you are doing!
file-version: 2

# Welcome to CommandDefender's second configuration file - messages.yml! Here, you can customise almost every
# chat message sent by the plugin with color code support, multi-line support and placeholders!
# Note: %placeholders% are case-sensitive. Please keep them in the same case that they were originally.

cancelled-blocked:
-

cancelled-colon:
- '%prefix% You are not allowed to use the colon character &8(&b:&8) &7in the first argument of your commands.'

command:
main:
- '%prefix% Available commands:'
- '&8 &m->&b /%label% reload &8- &7reload config files'
- '&8 &m->&b /%label% info &8- &7view info about the plugin'

no-permission:
- '%prefix% You don''t have access to that.'

reload:
start:
- '%prefix% Reload started ...'

complete:
- '%prefix% ... Reload complete.'

info:
- ' '
- '&b&lCommandDefender&b v%version%'
- ' '
- '&7Authors: &f%authors%'
- '&7Description: &f%description%'
- '&7Contributors: &f%contributors%&7.'
- ' '

usage:
- '%prefix% Usage: &b/%label% [reload/info]'

joiner: '&7, &f'

prefix: '&b&lCommandDefender:&7'

# Do not touch this value unless you are fully aware with what you are doing!
file-version: 2
Not: Başka forumdan alınmıştır sadece bilgilendirme için
 
Zamanında bu problemi yaşamıştım... Teşekkürler
 
Geri
En Üst