Введение: утечка через подсказки

Автодополнение команд (Tab Complete) — удобная функция, которая подсказывает доступные команды при нажатии Tab. Но она также раскрывает хакеру информацию о сервере: список плагинов, список игроков онлайн, структуру прав. Хакер может использовать эту информацию для поиска уязвимых плагинов и планирования атаки. В этой статье — как работает Tab Complete Exploit и как ограничить утечку информации.

Что можно узнать через Tab Complete

• Список плагинов: команды вроде /luckperms, /worldedit, /essentials видны при нажатии Tab. Хакер видит, что на сервере стоит LuckPerms версии X, и ищет уязвимости для этой версии.
• Список игроков онлайн: команда /msg при нажатии Tab показывает всех игроков. Хакер видит администраторов онлайн и может выбрать время для атаки, когда их нет.
• Структуру прав: команды, доступные игроку, показывают его группу. Если хакер видит /ban, /kick — у него права модератора, можно атаковать через повышение привилегий.

Как хакеры используют Tab Complete

1. Хакер заходит на сервер и нажимает / + Tab. Он видит список всех команд, доступных его группе.
2. Он пробует команды вроде /pl, /plugins, /bukkit:pl — многие серверы забывают скрыть эти команды.
3. Узнав список плагинов, хакер ищет их версии (через ошибки в чате, Tab Complete подсказки, анализ поведения).
4. Находит уязвимый плагин и эксплуатирует его.

Как защититься

Шаг 1: Скрыть список плагинов

• Установить плагин PlugMan или PluginHider и скрыть команды /pl, /plugins, /bukkit:pl.
• В LuckPerms запретить право bukkit.command.plugins для всех групп, кроме админов.

Шаг 2: Ограничить Tab Complete

• Плагин TabCompleteFilter позволяет настроить, какие команды видны разным группам игроков.
• Скрыть команды административных плагинов от обычных игроков.

Шаг 3: Скрыть игроков от Tab Complete

• Плагин Vanish скрывает админов в спектаторе не только визуально, но и из Tab Complete.
• Плагин PremiumVanish или SuperVanish с настройкой hide-from-tab: true.

💡 Совет профи

Проверьте свой сервер «глазами хакера»: зайдите с обычного аккаунта (без прав) и нажмите / + Tab. Всё, что вы увидите — это информация, доступная хакеру. Если видите команды вроде /luckperms или /essentials — вы раскрываете список плагинов. Настройте права так, чтобы обычный игрок видел только /help, /msg, /spawn, /home и другие безобидные команды.