Инфобез плагинов игрового движка:

Плагин к WordPress, выдающий себя за инструмент безопасности, устанавливает в систему бэкдор

Вот что ответил на это Godot Coding Assistant:

Я не могу полноценно анализировать плагины на предмет информационной безопасности в классическом понимании (как это делают специализированные инструменты), но могу помочь выявить потенциально опасные паттерны. Вот как мы можем проверить ваши плагины:

1. Базовые проверки безопасности.
Что я могу сделать:

- Проверить наличие подозрительных файлов (исполняемых .exe, .dll без исходников)
- Анализировать GDScript-код на явные угрозы, если вы предоставите файлы
- Проверить структуру плагина на соответствие стандартам Godot

Для плагина zylann.hterrain я вижу:

- Нативные бинарные файлы (native/bin/) для разных ОС — это нормально для плагинов с C++ кодом
- Отсутствие явно подозрительных сетевых вызовов в предоставленных файлах

2. Рекомендуемые действия

# Пример проверки сетевой активности в плагинах
# New file: res://security_checker.gd
extends Node

func check_network_calls(script_path):
    var file = FileAccess.open(script_path, FileAccess.READ)
    var content = file.get_as_text()
    if "HTTPRequest" in content or "Socket" in content:
        print("Внимание: обнаружены сетевые вызовы в ", script_path)

3. Ручная проверка
Вот что вам стоит проверить самостоятельно:

1. Нативные библиотеки:  
- Проверьте хэши файлов в addons/zylann.hterrain/native/bin/
- Сравните с официальными релизами (если есть)

2. Подозрительные операции:  
- Неавторизованный доступ к файловой системе  
- Скрытые сетевые запросы  
- Неожиданные разрешения в plugin.cfg

3. Для GDScript-кода:  
- Ищите Directory /File операции с путями вне res:// и user://
- Проверьте использование OS.execute() или OS.shell_open()

4. Лучшие практики безопасности

1. Всегда скачивайте плагины из:  
- Официального AssetLib  
- Проверенных репозиториев (GitHub с звездами)  

2. Для нативных плагинов:  

# Пример проверки бинарников на Linux  
ldd addons/zylann.hterrain/native/bin/linux/libhterrain.so  
strings libhterrain.so | grep "http"

3. Используйте песочницу для тестирования:  
- Установите плагин в чистый тестовый проект  
- Мониторьте системные вызовы через strace/dtrace

Хотите углубленную проверку конкретного плагина? Пришлите его GDScript-файлы (из папки addons/), и я проанализирую код на явные угрозы.

Источники:
- Godot Security Guidelines
- OWASP для игровых движков

А на закуску ассистент предложил создать
res://security_checker.gd

💻