In atentia ownerilor de servere cs 1.6 !!!

[miliardarul]

Salut,

In primul rand vreau sa zic ca nu eu am scris aceasta rezolvare dar fiind admin pe war7 si like stiu ca sa intamplat recent aceasta chestie pe ambele servere asa ca m-am gandit sa postez acest mesaj si aici

Poate ca unora va este de ajutor



”Salut,

Sunt sigur cã unii dintre voi aþi auzit cã sa realizat un nou eXploit, acest eXploit se bazeazã pe clonarea SteamID-ului.


Ce face acest eXploit?

Atacatorul în cauzã îºi alege un server drept þintã, acesta acceseazã comanda amx_who / admin_who în consolã pentru a vedea adminii online, acesta va scrie tot în consolã "status" pentru a putea vedea SteamID-ul unuia dintre adminii online.



Ce poate face atacatorul cu SteamID-ul?

Atacatorul va scrie în consolã o comandã din SteamID.ini, ceva de genu: hack STEAM_0:1.456646464, iar acesta va putea clona SteamID-ul ales. Doar în cazul în care victima a pãrãsit serverul, iar atacatorul va scrie "retry" în consolã va fi funcþionabilã clonarea SteamID-ului, ºi bine înþeles clonarea accesului de admin.


Dacã, ulterior adminul victimã va încerca sã se conecteze pe server cât timp atacatorul are accesul acestuia, evident acesta va fi un simplu player. Doar în cazul în care unul dintre cei 2 va pãrãsi serverul, evident celãlalt online va avea accesul de admin.



Cam aºa se prezintã eXploitul:

Vedeti aici



Un exploit foarte ingenios din punctul meu de vedere, dar am gãsit ºi o rezolvare foarte simpã, includerea parolei pentru cei cu accesul pe SteamID.



Cum ?

Quote:

Accesul pe care îl aveþi dumeavostrã: "STEAM_0:1.456646464" "" "abcdefgijmnopqrst" "ce" Accesul va trebui pus exact ca în exemplul de mai jos: "STEAM_0:1.456646464" "password here" "abcdefgijmnopqrst" "ca"

Dupã schimbarea flagului "ce" în "ca" automat veþi avea nevoie de o parolã, veþi fi nevoiþi sã vã autentificaþi cu comanda "setinfo _pw password". ”

Nu e nimic mai interesant decât sã te întorci într-un loc care a rãmas neschimbat ca sã îti dai seama cât de mult te-ai schimbat tu.



Casuta vocala: @Evil

[-P!C@-]

Pentru a evita clonarea steam-ului nu trebuie sa dati add la persoane necunoscute pe steam si sub nici o forma nu intrati pe toata panaramele de servere cand va roaga cineva sa testati daca merge sau nu.
Instalarea noului dproto + parola pe steam si neacceptarea persoanelor necunoscute pe steam dar si refuzul de a intra pe nush ce server va scuteste de probleme.

[JonSnow]

Sau poti sa excluzi comanda amx_who din lista amx commands / amx_help.
Poti sa folosesti un plugin cu MOTD html prin care playerii pot vedea Adminii / Vips / Slots online. ( si e mult mai estetic acest plugin decat vechea metoda cu consola)

Plus limitarea altor comenzi ca amx_last / amx_showip pe un flag anume, de exemplu "d / g / j / m".

"We have no king but the King in the North, whose name is Stark.
I don't care if he's a bastard;

Ned Stark's blood runs through his veins.
He's my king, from this day until his last day!"

[miliardarul]

JonSnow wrote:

Sau poti sa excluzi comanda amx_who din lista amx commands / amx_help. Poti sa folosesti un plugin cu MOTD html prin care playerii pot vedea Adminii / Vips / Slots online. ( si e mult mai estetic acest plugin decat vechea metoda cu consola) Plus limitarea altor comenzi ca amx_last / amx_showip pe un flag anume, de exemplu "d / g / j / m".

Amx_who nu arata steamid, cel putin versiunea folosita pe 7 si like dar e buna si ideea ta

Cat despre show_ip ar merge doar editat pluginul sa arate doar nume si ip fara steamid. E destul de bun lasat pentru toti.
Daca esti doar player, fara nici un acces si faci un demo, sa poti sa iei si ip-ul. Scutesti owneri de un lucru

Amx_last ar merge pusa la un flag anume sau ai putea face aceleasi modificari ca la show_ip.

Totusi, atata timp cat ai o parola pe accesul pe steam e rezolvata treaba

Nu e nimic mai interesant decât sã te întorci într-un loc care a rãmas neschimbat ca sã îti dai seama cât de mult te-ai schimbat tu.



Casuta vocala: @Evil

[JonSnow]

miliardarul wrote:

Daca esti doar player, fara nici un acces si faci un demo, sa poti sa iei si ip-ul. Scutesti owneri de un lucru

Intr-adevar asta am urmarit si eu pana mi-am dat seama ca ajutam un flooder sa-mi "decapiteze" playerii doar prin intermediul IP-ului.

Mai bine caut in logs IP-ul codatului / playerului respectiv avand deja nicku' doar dau un edit cu Notepad ++ --> search Nick si am totu' pe tava decat sa risc siguranta celorlalti.

"We have no king but the King in the North, whose name is Stark.
I don't care if he's a bastard;

Ned Stark's blood runs through his veins.
He's my king, from this day until his last day!"

[miliardarul]

JonSnow wrote:

miliardarul wrote: Daca esti doar player, fara nici un acces si faci un demo, sa poti sa iei si ip-ul. Scutesti owneri de un lucru Intr-adevar asta am urmarit si eu pana mi-am dat seama ca ajutam un flooder sa-mi "decapiteze" playerii doar prin intermediul IP-ului. Mai bine caut in logs IP-ul codatului / playerului respectiv avand deja nicku' doar dau un edit cu Notepad ++ --> search Nick si am totu' pe tava decat sa risc siguranta celorlalti.

Aici ai dreptate

Nu e nimic mai interesant decât sã te întorci într-un loc care a rãmas neschimbat ca sã îti dai seama cât de mult te-ai schimbat tu.



Casuta vocala: @Evil