Plugins de origem duvidosa: riscos e cuidados

Um plugin é código nativo que roda dentro do processo do servidor, com as mesmas permissões dele. Um plugin malicioso pode fazer praticamente qualquer coisa que o servidor pode fazer.

O que pode dar errado

• Backdoors: comandos ocultos que dão admin ou RCON a um estranho;
• Roubo de dados: envio das credenciais do banco, de senhas ou do gamemode para terceiros;
• Sabotagem: apagar arquivos, corromper o banco ou derrubar o servidor em horário de pico;
• Uso indevido de recursos: mineração, ataques a terceiros.

Includes (.inc) também podem esconder código malicioso, mas são texto e dá para ler. Plugins são binários e muito mais difíceis de auditar.

Sinais de alerta

• Distribuído só como binário, sem código-fonte;
• Baixado de link encurtado, grupo de rede social ou "amigo de um amigo";
• Promete coisas milagrosas ("anti-cheat perfeito", "dobra os slots", "anti-DDoS por plugin");
• Exige desativar outras proteções;
• Faz conexões de rede sem motivo claro.

Como se proteger

1. Use projetos conhecidos, de código aberto e mantidos (GitHub oficial do autor);
2. Compile você mesmo quando possível;
3. Leia includes antes de usar, procurando comandos escondidos, SendRconCommand, strings ofuscadas e requisições HTTP;
4. Teste num servidor isolado antes de colocar em produção;
5. Mínimo privilégio: o usuário do banco do servidor não precisa ser administrador do MySQL;
6. Backups frequentes, para ter como voltar atrás.

Gamemodes "vazados"

O mesmo vale para gamemodes baixados de fontes duvidosas. É comum que venham com backdoors. Temos um post dedicado a isso.

Se desconfiar de algo

• Remova o plugin suspeito;
• Troque as senhas do RCON, do banco e dos admins;
• Revise logs e contas de admin;
• Restaure de um backup confiável se houver sinais de alteração.

Hospede seu servidor com a VittHost

Nos planos OPENMP-BR da VittHost, cada servidor roda isolado em contêiner no painel Pterodactyl, com proteção DDoS e MySQL incluso. Servidores no Brasil, compatibilidade total com scripts SA-MP e teste grátis de 3 dias.