Инфобез плагинов игрового движка:
Плагин к WordPress, выдающий себя за инструмент безопасности, устанавливает в систему бэкдорВот что ответил на это Godot Coding Assistant:
Я не могу полноценно анализировать плагины на предмет информационной безопасности в классическом понимании (как это делают специализированные инструменты), но могу помочь выявить потенциально опасные паттерны. Вот как мы можем проверить ваши плагины:
1. Базовые проверки безопасности.
Что я могу сделать:
- Проверить наличие подозрительных файлов (исполняемых .exe, .dll без исходников)
- Анализировать GDScript-код на явные угрозы, если вы предоставите файлы
- Проверить структуру плагина на соответствие стандартам Godot
Для плагина zylann.hterrain я вижу:
- Нативные бинарные файлы (native/bin/) для разных ОС — это нормально для плагинов с C++ кодом
- Отсутствие явно подозрительных сетевых вызовов в предоставленных файлах
2. Рекомендуемые действия
# Пример проверки сетевой активности в плагинах
# New file: res://security_checker.gd
extends Node
func check_network_calls(script_path):
var file = FileAccess.open(script_path, FileAccess.READ)
var content = file.get_as_text()
if "HTTPRequest" in content or "Socket" in content:
print("Внимание: обнаружены сетевые вызовы в ", script_path)
3. Ручная проверка
Вот что вам стоит проверить самостоятельно:
1. Нативные библиотеки:
- Проверьте хэши файлов в addons/zylann.hterrain/native/bin/
- Сравните с официальными релизами (если есть)
2. Подозрительные операции:
- Неавторизованный доступ к файловой системе
- Скрытые сетевые запросы
- Неожиданные разрешения в plugin.cfg
3. Для GDScript-кода:
- Ищите Directory /File операции с путями вне
res:// и
user://- Проверьте использование OS.execute() или OS.shell_open()
4. Лучшие практики безопасности
1. Всегда скачивайте плагины из:
- Официального AssetLib
- Проверенных репозиториев (GitHub с звездами)
2. Для нативных плагинов:
# Пример проверки бинарников на Linux
ldd addons/zylann.hterrain/native/bin/linux/libhterrain.so
strings libhterrain.so | grep "http"
3. Используйте песочницу для тестирования:
- Установите плагин в чистый тестовый проект
- Мониторьте системные вызовы через strace/dtrace
Хотите углубленную проверку конкретного плагина? Пришлите его GDScript-файлы (из папки addons/), и я проанализирую код на явные угрозы.
Источники:
- Godot Security Guidelines
- OWASP для игровых движков
А на закуску ассистент предложил создать
res://security_checker.gd💻
