Обсуждаем Cabal Online — Взлом приватных серверов через SQLi

[hex_cat]

Многие админы приваток Cabal Online до сих пор верят, что их самописные веб-морды в безопасности. На деле же, большинство серверов всё еще страдают от примитивных SQL-инъекций в эндпоинтах, которые напрямую взаимодействуют с игровой базой.

Суть проблемы в том, что структура баз данных Cabal (schemas) лежит в открытом доступе годами. Зная названия таблиц и колонок, атакующему достаточно найти одну кривую форму регистрации или личный кабинет, чтобы получить полный контроль над данными игроков.

Что можно провернуть через SQLi:

1. Редактирование уровня, характеристик и класса персонажа.
2. Смена нации и фракции без ограничений.
3. Начисление любой игровой валюты напрямую в базу.
4. Повышение прав аккаунта до уровня администратора.
5. Манипуляция экономикой сервера вплоть до полного вайпа.

В качестве примера разберем работу с основной таблицей персонажей:

cabal_character_table

Вместо попыток скрыть структуру БД (security through obscurity), админам стоит наконец начать использовать параметризованные запросы. Если вы держите сервер или кодите под Cabal, проверяйте каждый веб-компонент, который лезет в MSSQL. Базы большинства серверов — это открытая книга для тех, кто понимает, куда вставлять кавычку.

Спойлер: Технические рекомендации по защите

1. Используйте исключительно параметризованные SQL-запросы.
2. Настройте строгую сепарацию прав доступа к БД (веб-юзер не должен иметь прав на DROP или широкие UPDATE).
3. Регулярно проводите аудит кода веб-панелей.
4. Предполагайте, что атакующий уже знает вашу схему базы данных.

Короткая демонстрация того, как это работает на практике:

Интересно, сколько еще популярных приваток можно вынести этой паблик-схемой, пока владельцы тратят деньги на защиту от DDoS вместо фикса дырок в коде.