Hile kullananlar kendilerine para vermek, araç spawnlamak ve eşya almak için ağ olaylarını kötüye kullanır. FiveM trigger istismarlarının nasıl çalıştığını, elle denetlemenin neden bu kadar zor olduğunu ve ZeroTrust'ın Trigger Finder'ının tüm olay saldırı yüzeyinizi nasıl haritalayıp işaretlediğini öğrenin.
Bir süredir FiveM sunucusu işletiyorsanız şu sorunla karşılaşmışsınızdır: hile menüsü olan bir oyuncu, amaçlanan arayüze hiç dokunmadan kendine para verir, araç spawnlar veya envanterini eşyayla doldurur. Oyun motorunu kırmıyor; doğrudan sunucunuzun ağ olaylarını çağırıyor.
Bu, FiveM sunucularının istismar edilmesinin en yaygın yoludur ve standart tavsiye "olaylarınızı güvene alın"dır. Sorun şu ki bu tavsiye, hangi olayların açıkta olduğunu zaten bildiğinizi varsayar. Onlarca kaynak çalıştıran bir sunucuda bunu neredeyse kimse bilmez. Bu yazı, trigger istismarlarının nasıl çalıştığını, elle düzeltmenin neden bu kadar zor olduğunu ve tüm bu sorunu nasıl bir araca dönüştürdüğümüzü anlatıyor: Trigger Finder.
FiveM'de betikler istemci–sunucu sınırı boyunca ağ olaylarıyla iletişim kurar. Bir istemci TriggerServerEvent çağırır ve sunucu o olay adı için kayıtlı handler'ı çalıştırır. Meşru oynanış tam olarak böyle çalışır — ve hile de tam olarak bunu kötüye kullanır.
Bir hile menüsü, sunucunuzun kaydettiği herhangi bir ağ olayını istediği argümanlarla tetikleyebilir. Bir kaynakta para ekleyen, eşya veren veya araç spawnlayan bir sunucu olayı varsa ve istemcinin gönderdiği değerlere güveniyorsa, hileci onu doğrudan çağırır:
-- Savunmasız: sunucu istemcinin gönderdiği her şeye güveniyor
RegisterNetEvent("shop:buyItem", function(item, amount)
local ply = FX.GetPlayerFromSource(source)
-- Fiyat kontrolü yok, doğrulama yok — her şeyi istemci kontrol ediyor
ply.addItem(item, amount)
end)
-- Bir hile sadece şunu çağırır:
-- TriggerServerEvent("shop:buyItem", "gold_bar", 9999)Tek bir olayı düzeltmek iyi bilinir: sunucu tarafında doğrula, istemci girdisine asla güvenme. Tam kalıpları FiveM Lua Olay Güvenliği Rehberi içinde ele alıyoruz. Zor olan tek bir olayı düzeltmek değil; hepsinin nerede olduğunu bilmektir.
Tipik bir roleplay sunucusu 50 ila 300'den fazla kaynak çalıştırır; çoğu sizin yazmadığınız üçüncü taraf betiklerdir. Her biri onlarca ağ olayı kaydedebilir — yani hiç açmadığınız dosyalara dağılmış potansiyel olarak binlerce olay. Göremediğinizi güvene alamazsınız ve kimse unutulmuş bir addMoney handler'ı aramak için her kaynağı elle okumayacaktır.
Daha fazla dokümantasyon yayımlamak yerine denetimi doğrudan ZeroTrust paneline yerleştirdik. Fikir basitti: bir sunucunun tehlikeli kısmı olay yüzeyiyse, her sahip bu yüzeyin tamamını tek bakışta, riske göre sıralanmış ve her birine doğrudan giden bir yolla görebilmelidir.
Trigger Finder, ZeroTrust panosuna gömülü bir tarayıcıdır. Sunucu tarafından başlatılan bir tarama çalıştırırsınız ve kaynaklarınızı tarayarak bulduğu her olayı ve trigger'ı çıkarır — her birini kaynağı, dosyası, satır numarası, tarafı (istemci veya sunucu) ve olay adıyla etiketler.
Tahmin etmek yerine, sunucunuzun açığa çıkardığı her ağ olayının eksiksiz ve aranabilir bir envanterini elde edersiniz. Her trigger, nerede yaşadığı ve hangi yöne aktığıyla kaydedilir — İstemci → Sunucu, Sunucu → İstemci, İstemci → İstemci veya Sunucu → Sunucu — böylece kötü niyetli bir istemcinin hangilerine ulaşabileceğini hemen görürsünüz.
Sonuç, tüm sunucunuz için bir risk dağılımıdır: kaç trigger'ın güvenli, kaçının kritik olduğu, hangi kaynakların en çok tehlikeli olayı içerdiği ve her şeyin istemci ile sunucu arasında nasıl bölündüğü.
Her bulgu, trigger'ı yerinde okumanız için kod bağlamı görünümüyle birlikte kendi kaynağına → dosyasına → satırına geri bağlanır. Trigger Finder tehlikeli bir addItem handler'ı işaretlediğinde, hangi betiği ve satırı sağlamlaştıracağınızı tam olarak bilirsiniz — aramaya gerek yok.
Özellikle özel framework'lerle her sunucu farklıdır. Kendi anahtar kelimelerinizi ve tehlikeli olay listenizi yapılandırabilirsiniz; böylece Trigger Finder yalnızca varsayılanları değil, sizin betikleriniz için önemli olan fonksiyon adlarını işaretler.
Trigger Finder neyi güvene alacağınızı söyler. Boşluğu kapatmak bir sonraki adımdır: işaretlenen her olayı sunucu tarafında doğrulayın, istemciye güvenmek yerine değerleri sunucu tarafı yöntemlerle alın ve harekete geçmeden önce oyuncunun durumunu, konumunu ve yetkilerini kontrol edin. Tüm kalıplar — etkinleştirmeye değer FXServer güvenlik convar'larıyla birlikte — FiveM Lua Olay Güvenliği Rehberi içindedir.
Hiç görmediğiniz bir saldırı yüzeyini savunamazsınız. Trigger Finder, "olaylarınızı güvene alın" gibi belirsiz tavsiyeyi, gerçek sunucunuzdan üretilen somut bir kontrol listesine dönüştürür — böylece neyin açıkta olduğunu ve nerede düzelteceğinizi tam olarak bilirsiniz.