ExploitPreventer

ExploitPreventer

Это fabric-мод, который предотвращает известные эксплойты на стороне клиента.

Отказ от ответственности: Используйте этот мод на свой страх и риск. Сопровождающие не несут ответственности за любые баны или другие последствия.

Если вам интересны серверы или плагины, использующие эти эксплойты, загляните в Зал позора.

Остерегайтесь поддельных загрузок

Скачивайте ExploitPreventer только с официальной страницы Modrinth: https://modrinth.com/mod/exploitpreventer
Поддельные или неофициальные версии этого мода могут содержать вредоносный код.

Эксплойты

В настоящее время этот мод защищает от следующих эксплойтов:

• Уязвимость перевода табличек (и другая магия компонентов)
• Локальный HTTP-запрос через ресурспак
• Снятие отпечатка устройства через ресурспак

Уязвимость перевода табличек (и другая магия компонентов)

Ссылка: https://wurst.wiki/sign_translation_vulnerability

Сервер может заставить клиент разрешить ключи перевода и отправить разрешённый текст обратно на сервер. Это позволяет серверу узнать, какие моды установлены на клиенте (проверяя специфичные для модов ключи перевода или привязки клавиш), а также языки игроков и т. д.

Наше исправление: Мы запрещаем клиенту разрешать ключи перевода и привязки клавиш на экране редактирования табличек и наковальни.

Локальный HTTP-запрос через ресурспак

Ссылка: https://alaggydev.github.io/posts/cytooxien/

Сервер может заставить клиент делать HTTP-запросы к любым IP-адресам, включая локальные сервисы (например, http://localhost:8080), отправив специально созданный URL ресурспака. Сервер также может узнать, был ли запрос успешным или нет, или совпадает ли SHA1-хеш ответа с определённым значением. Сервер может использовать это для определения того, какие локальные сервисы работают на машине клиента (например, роутер, телевизоры, ранее LiquidBounce).

Наше исправление: Мы блокируем URL-адреса ресурспаков, указывающие на локальные IP. В идеале мы хотели бы блокировать все HTTP-ответы без правильного заголовка CORS (как это делает браузер), но это нарушило бы обратную совместимость.

Снятие отпечатка устройства через ресурспак

Ссылка: https://alaggydev.github.io/posts/cytooxien/

Сервер может злоупотреблять кэшем ресурспаков на стороне клиента, чтобы однозначно идентифицировать клиентов. Это позволяет серверу отслеживать пользователей между несколькими сессиями, даже если они меняют имя пользователя или IP-адрес.

Наше исправление: У каждого аккаунта будет собственная директория кэша ресурспаков. Таким образом, сервер не сможет сопоставлять ресурспаки между разными аккаунтами.

Обнаружение модов через плагинные каналы

Некоторые моды регистрируют плагинные каналы для связи с сервером. Серверы могут использовать эти каналы для обнаружения наличия определённых модов на клиенте. Такое поведение намеренно и необходимо для корректной работы многих модов (например, для специфичных для мода функций, сетевого взаимодействия или совместимости с серверными плагинами).

Поскольку эта информация явно раскрывается самим модом, этот мод не пытается блокировать или скрывать регистрацию или использование плагинных каналов. Это нарушило бы законную функциональность модов и выходит за рамки этого проекта.

Другие моды

Есть другие моды, которые пытаются сделать нечто подобное. Эти моды не рекомендуются, потому что они либо ждут моих патчей, чтобы включить их в свои моды, были созданы полностью с помощью ИИ или просто являются дешёвыми копиями моего мода.

Получение угроз смерти

Из-за характера этого проекта, разоблачающего и защищающего от эксплойтов, используемых некоторыми серверами, я получал угрозы смерти от людей, которые чувствуют угрозу от этой работы. Эти угрозы серьёзны и не остаются незамеченными.

Однако они меня не остановят. Если уж на то пошло, получение угроз смерти только подтверждает, что этот проект бьёт в нужное место. Люди, отправляющие их, явно заинтересованы в том, чтобы эти эксплойты оставались живыми, а игроки — незащищёнными. Я продолжу поддерживать и улучшать этот мод, разоблачать новые эксплойты по мере их обнаружения и бороться ещё сильнее за приватность и безопасность игроков. Запугивание здесь не сработает.

Если вам известно, кто стоит за любыми такими угрозами, пожалуйста, сообщите об этом соответствующим органам.

Сообщение об ошибках

Если вы обнаружили обход или любой другой клиентский эксплойт, свяжитесь с nikoverflow в Discord или отправьте письмо на nikoverflow007@gmail.com. Приложите краткое описание проблемы, чёткие пошаговые инструкции по воспроизведению, версию Minecraft, которую вы использовали, и все соответствующие логи или скриншоты.