Могут ли игровые моды создавать уязвимости при переполнении буфера?

Question

Обычно я не размещаю посты на форумах, потому что обычно я могу найти любой нужный мне ответ с помощью Google.Однако каждый поиск, который я запускаю, дает мне очень конкретные результаты, такие как уязвимости переполнения буфера, которые уже существуют для конкретной игры или системы, а это не то, что мне нужно.

У меня есть домашняя сеть, включающая Windows Server 2008 R2, и мой сын хочет запустить сервер Minecraft, к которому, конечно, я хочу предоставить ему полный доступ, чтобы он мог учиться.Однако я знаю, что каждая игра "поддается модификации", и он использует пользовательские карты и тому подобное во многих своих играх.

Меня беспокоит то, что я собираюсь создать риски безопасности в своей сети, основанные на неопытном программировании.Будет ли предоставление ему возможности устанавливать и создавать моды на моем сервере потенциально открывать уязвимости (за пределами открытых портов Minecraft) из-за возможной неопытности людей, фактически пишущих моды?Или моды просто не работают таким образом, и я не могу найти ответ на свой вопрос, потому что он отсталый, и никто на самом деле не программирует мод, lol?

Answer 1

Зависит от того, как работает система модов в игре, и от того, изолирована ли сама игра.Важно отметить, что ни одно программное обеспечение не является абсолютно безопасным.Вы должны решить, какой уровень безопасности и надежности вас устраивает.

Существует несколько способов, которыми мод может выявить уязвимость:

1. Игра может разрешить моду доступ к ненадлежащему разрешительному набору действий, таким как доступ к файловой системе.Это может включать в себя то, что разработчик неправильно разместил мод в песочнице.
2. Мод мог использовать уязвимость в API игры для доступа к действиям, которые разработчик игры не планировал.Это могло бы быть связано с ошибкой в API.
3. Мод может использовать уязвимость в языковом ядре (например, Java имеет долгую историю уязвимостей в системе безопасности).
4. Сам мод может быть уязвим для атак, и его можно настроить для запуска одной из описанных выше атак.

Если мод-система основана на скриптах или виртуальных машинах, таких как Lua, JavaScript или Java, я бы чувствовал относительно безопасная установка модов (при условии, что в игре хорошо реализован API / песочница), поскольку эксплойты 2-4 относительно маловероятны.

(Мое понимание родной код модов / плагинов ограничен, но я почти уверен, что вы ДОЛЖНЫ доверять встроенному моду, если хотите его запустить.Даже если вы это сделаете, это все равно может быть использовано.)

Мое понимание модов minecraft заключается в том, что они написаны на java.Мое мнение о ребятах из Mojang таково, что они знают, что делают, поэтому я был бы удивлен, если бы их mod API не был исключительно хорошо разработан и реализован.Сказав это, установка модов обязательно создает угрозу безопасности.

Если этот риск неприемлем, вы можете уменьшить его, внедрив глубину в систему.Почему бы, скажем, не запустить ваш сервер minecraft на виртуальной машине с ограниченным доступом к сети (например, только необходимые порты)?Таким образом, влияние уязвимостей значительно снижается.

Я бы порекомендовал создать виртуальную машину Ubuntu на VirtualBox (потому что они оба бесплатны, как и в beer), но вы могли бы установить ее на любую ОС, которая вам удобна.

Answer 2

Уязвимости для переполнения буфера связаны с языками программирования, которые позволяют непроверенному доступу памяти.Minecraft написан в Java, языку, который не подвержен воздействию для перерасходов буфера, поэтому мод Pure-Java будет очень вряд ли представить что-то, что напоминает этот вид уязвимости.

Естественно программы в Java все еще могут быть уязвимы для других видов вопросов безопасности, либо против самой игры (например, были входа в систему игры для учетной записи против серверов Minecraft) или против сервера (я не знаю о любых известныхСлучаи этого для Minecraft, но это всегда возможно).Обычные смягчения для работы серверов применяются, например, заблокируйте доступ к сети до хороших IPS, если это возможно, запустите сервер как ограниченный пользователь и так далее.