Дырочка в модах с использованием ObjectInputStream

Дырочка в модах с использованием ObjectInputStream

will0376

Токсичная личность
2,077
55
585
will0376 добавил(а) новый ресурс:

Дырочка в модах с использованием ObjectInputStream - Существует дырка при использовании ObjectInputStream в пакетах

Посмотреть вложение 15937
Помните взлом гравити (помойка,кстати. ИМХО) в Июле-Августе 2022?
Так вот, мне удалось пообщаться с одним из взломавших и обсудить, как это было сделано.

Вся уязвимость заключается в классе ObjectInputStream, который отвечает за десериализацию объектов - при правильной упаковке класса можно заставить OOS в момент десериализации выполнить произвольный код. А с учетом того, что forge не проверяет стороны пакета при отправке в "ручном" режиме -...

Узнать больше об этом ресурсе...
 
Последнее редактирование:
236
4
22
Да, жаль конечно, что спалили дырочку. В прочем, она уже давно нам известна была и мы давно создали мод, который исправляет эту уязвимость в самом Minecraft (внедряет проверку стороны перед началом чтения пакета) - SimpleNetworkFix. Притом как на 1.7.10, так и на 1.12.2 версии игры есть билд.
 
236
4
22
И какая ж нам выгода бесплатно рассказывать хаки? Может нам еще рассказать как гивнуть себе любой шмот с помощью некоторых модов!? -_-
 
236
4
22
Клоун) Мы на форуме по МОДДИНГУ или хактрекере каком-то сейчас сидим?
 
1,074
72
372
Да, жаль конечно, что спалили дырочку.
Скрывать целенаправленно критические уязвимости - это поступать по-пидорски, думая только о своём кармане. Ничего против продажи самих фиксов не имеют, но информация об уязвимостях должна быть в свободном доступе. Пользователи должны быть в курсе что означает на "свой страх и риск".

Страдают в итоге не в чём не повинные игроки из-за рукожопых обезьян, пишущих моды.
 
29
20
Что же, теперь пройдемся по фактам. Мы живем в мире капитализма, с чего бы люди, которые делают сервера на коммерческой основе должны получать готовый продукт без проблем? Они используют бесплатные моды, бесплатное ядро и еще кучу всего, что даже по своей лицензии противоречит коммерческому использованию. Обратитесь к опыту больших и средних компаний. Кто им жертвует фиксы дырок в их продуктах просто так? Кучу топовых компаний объявляют конкурсы с выплатами за простую информацию об уязвимостях. А затраты на разработку этих фиксов вы учли? Фикс думаете пишется за 0 секунд без опыта? Вы используете моды, которые не нацелены на коммерческое использование, а после этого ноете, что они дырявые и за их фиксы над оплатить? Ну напишите разработчикам, которые уже 10 раз в гробу перевернулись, когда их вспоминают теплым словом, смотря на их код десятилетней давности. Мы уже давно поднимали тему фиксов, дыр и прочего в дискорд канале, где пришли к общему выводу, что информация и фиксы стоят денег, и правильно за них платить, если проект коммерческий. Тут даже не надо вставлять свои три копейки про некоммерческие проекты, потому что их никто не трогает, есть дыра и есть, какая разница, если там играет 3 друга, которые даже не знают что такое дыры в майне?
 
29
20
Ну и раз на то пошло то добавлю, что фикс, выложенный выше, имеет недостатки/недоработки по сравнению с нашим, из-за чего врятли рекомендуется к использованию. Не считая их, стоит упомянуть, что он написан на миксинах, что может быть довольно критично для некоторых. Остальные и главные недостатки пожалуй умолчу, пусть автор подумает сам)
 
29
20
Да, и еще пожалуй скажу вот что. Когда мы одни из первых сделали фикс (был еще один проект, которые на 3 дня раньше его сделал, остальные видимо не сделали до сих пор или купили у нас), то мы начали предлагать его крупным проектам. Почему-то никто не ныл, что вы обязаны слить дыру и фикс в паблик, это ведь RCE бла бла бла и спокойно взяли его. Ладно бы если их было 1 или 2, но явно не столько, сколько взяло. Тут сборище нытиков? Вы не в курсе как бизнес работает? За все хорошее и против всего плохого? Может еще коммунизм построите где всем будет хорошо? Да, это хорошие идеи, не спорю, все делятся со всеми и помогают друг другу, но не в нашем мире такое троить. Мы бы делали фиксы в паблик, если бы мир был бы так прост. Сегодня вы поныли что фиксы дорого и вообще их должны поставлять вам за спасибо, а завтра сидите получате свои денежки с лохов-игроков, продавая им игровой шмот, попивая вискарик где-нибудь на Бали. Вот когда такого не будет, тогда и фиксы будут для всех, все будут поддерживать всех и всё будет замечательно, а пока ВЫ сами так поступаете, как должны поступать с вами? Разве не точно также, как и вы с другими? Прекратите коммерциализировать проекты и мы прекратим получать деньги за нашу работу. Этим все и сказано.
 
1,074
72
372
Хорошая попытка перескочить с одной темы на другую. Речь идёт о "Unknown" модах, названия которых вы всеми силами умалчиваете только чтобы набить себе цену. Вся претензия к том что вы всеми силами не хотите раскрывать названия данных модов, даже со всем известным bdlib не удосужились это сделать. Получается, наживаетесь на чужой беде.

Насчёт подажи фиксов ничего против не имею.

Кучу топовых компаний объявляют конкурсы с выплатами за простую информацию об уязвимостях.
К майкрафту это неприменимо. Никто не должен платить за ошибки в ЧУЖИХ модах, написанными различного сорта говнокодерами. Информация об уязвимостях должна быть в свободном доступе и доведена до сведения авторов поделок. Деньги можно брать только за работу по исправлению этих проблем.
 
Последнее редактирование:

tox1cozZ

aka Agravaine
8,455
598
2,892
Ну и раз на то пошло то добавлю, что фикс, выложенный выше, имеет недостатки/недоработки по сравнению с нашим, из-за чего врятли рекомендуется к использованию. Не считая их, стоит упомянуть, что он написан на миксинах, что может быть довольно критично для некоторых. Остальные и главные недостатки пожалуй умолчу, пусть автор подумает сам)
Ну так расскажи какие недоработки. Я это сделал на коленке за час, чтобы люди могли быстро среагировать и поставить мод. Или на крайний случай понять где дырка и закрыть её своими разработками.
Ибо когда такие вещи улетают в паблик, важно чтобы как можно быстрее все поняли суть проблемы и варианты решения, иначе найдется Васян который пойдет "тестировать" это на других проектах.

Как сказал TheAndrey выше, вы могли поделиться этой дырой и сказать "вот такая противная багулина, но мы написали фикс и вы можете у нас купить за столько-то, либо фиксите своими силами". Это было бы абсолютно адекватно и правильно.
 
29
20
Никто не умалчивает дыры, если условно прислать скрин модов в сборке, то можно смело получить информацию о той или иной дыре, это сделано затем, чтобы всякие умники не повторяли чужие работы. Думаешь сколько ушло на поиск информации? Мы 250 модов проверяли и фиксили целый год, после этого ты еще уверен, что информация ничего не стоит? По поводу bdlib я всем лично сразу о ней говорю и вообще не скрываю, просто обновлять информацию на гисте несколько лень. По поводу информации о дырах в модах - ищите и доводите до авторов модов сами. Мы не благотворительная организация, зачем нам это надо? А что по поводу того, что страдать не должны авторы проектов - идея так себе. Вы сами ставите моды, вам и отвечать за их работы, авторы уже давно их забросили и забили, это не их проблемы, а ваши. Вы же когда ставите бесплатное ПО - сами должны следить за дырами и всем прочим. Вы его не покупали, оно достается вам в формате "как есть", в чем тут могут быть еще вопросы?
 
29
20
Ну так расскажи какие недоработки. Я это сделал на коленке за час, чтобы люди могли быстро среагировать и поставить мод. Или на крайний случай понять где дырка и закрыть её своими разработками.
Ибо когда такие вещи улетают в паблик, важно чтобы как можно быстрее все поняли суть проблемы и варианты решения, иначе найдется Васян который пойдет "тестировать" это на других проектах.

Как сказал TheAndrey выше, вы могли поделиться этой дырой и сказать "вот такая противная багулина, но мы написали фикс и вы можете у нас купить за столько-то, либо фиксите своими силами". Это было бы абсолютно адекватно и правильно.
В паблик ничего не улетело, есть 2 дыры - эндер ио и гадомансия, вы можете убрать исполнение конфиг пакетов на сервере или купить их фиксы, не пойму причем тут эта дыра? Наш фикс фиксит универсально, а то что вы тут слили - это 2 мода. Другие примеры использования дыры либо слишком сложны, либо не найдены.
 

tox1cozZ

aka Agravaine
8,455
598
2,892
Причем тут вообще моды, если дыра в фордже? Зная эту уязвимость, можно клепать десятками свои моды с этой дыркой, которая никто даже и не заметит.
А потом будут скандалы как с алексоколом, который встроил бэкдор на выдачу креатива у себя в моде. Эта же штука в разы опаснее.
 
1,074
72
372
Причем тут вообще моды, если дыра в фордже?
Я бы так не сказал. Forge Team не могли учесть, что найдётся какой-то "умник" использующий ObjectInputStream для десеариализации пакета. Если не применять эту гадость, то никакой уязвимости нет. Обычно в логике обработчика пакета они встречаются.
 
29
20
Юзать ObjectInputStream в модах это уже как минимум минус в производительности, так что тут больше вопросы не к самой дыре форжа, а к авторам модов, форж не виноват.
 
Сверху