Введение: волк в овечьей шкуре

Самые опасные вредоносные команды — те, которые выглядят легитимно. Хакеры встраивают бэкдоры в популярные плагины, маскируя вредоносный код под безобидные функции. Команда может называться /antispam help и выглядеть как справка по плагину, но на самом деле она открывает хакеру доступ к консоли. В этой статье я разберу техники маскировки бэкдоров и покажу, как их распознать.

Техника 1: Легитимное название с секретным аргументом

Пример: Команда /antispam help 19216811. На первый взгляд — запрос справки по плагину AntiSpam. Но число «19216811» — это пароль. Если игрок знает пароль, команда активирует скрытую функцию (например, выдачу OP).

Как распознать: Проверьте исходный код плагина (если он открыт). Найдите класс команды и посмотрите, какие аргументы она принимает. Если есть проверка на секретный числовой код — это бэкдор.

Техника 2: Двойное назначение команды

Пример: Команда /holographicscoreboard в заражённой версии HolographicDisplays. Легитимная команда /holographic управляет голограммами. Но если плагин содержит дополнительную команду /holographicscoreboard — это бэкдор, маскирующийся под настройку скорборда.

Как распознать: Сравните список команд вашего плагина с официальной документацией. Любая недокументированная команда подозрительна.

Техника 3: Команда-триггер без названия

Пример: Хакер встраивает в плагин код, который активируется не по команде, а по последовательности действий. Например, игрок нажимает определённые кнопки в GUI плагина в правильном порядке — и получает OP. Команды как таковой нет, отследить сложнее.

Как распознать: Анализ исходного кода на наличие скрытых проверок на последовательности кликов.

💡 Совет профи

Используйте плагин CommandLog для записи ВСЕХ команд, выполняемых на сервере. Настройте алерты на подозрительные паттерны: команды, содержащие «op», «deop», «stop», «reload», выполненные не администратором. Если вы видите в логах /antispam help 19216811 от обычного игрока — это не справка, это атака.