【マイクラ】いろんな技術的な対策をまとめてみた!基礎から高度な事まで!

未分類

こんにちは!
この記事では、マイクラ鯖でやるべき対策を紹介していきます。

絶対にやるべきだったり有名なものは基礎編とします。
難しかったりあまり有名ではないものは高度編とします。

基礎編

まずは基礎編です。
基本的にやった方が良い対策をまとめています。

無料のAntiExploitの導入

まずは「無料のAntiExploitの導入」です。
Exploitを使うことで、サーバーをクラッシュさせたり、負荷をかけたりできます。

これは公開サーバーにとって致命的なものであるため、無料のものでも良いので、入れておくべきです。
特に1.20.2以下は絶対に入れるべきであると言えるでしょう。

LuckPermsへの変更

次に「LuckPermsへの変更」です。
いまだに「PermissionEX」を使っているやばいサーバーがあります。

ただこれらは適切に設定しなければ権限不正入手やサーバークラッシュの危険性があります。
またアップデートもされていないため今後サポートはされません。

いろんな意味でLuckPermsへの変更をお勧めします。
もちろんPowerRanks等、維持されている別のプラグインでも大丈夫です。

MultiverseCoreの権限設定

次に「MultiverseCoreの権限設定」です。
古いMultiverseCoreを使っていると、サーバーをクラッシュできてしまいます。

そのためMultiverseCoreのアップデート、または権限を設定してサーバークラッシュを阻止してください。

具体的には権限プラグインで

multiverse.help

この権限をなしにするだけです。
LuckPermsの例を出しておきます。

/lp group default permission set multiverse.help false

BungeeGuardによる保護

次は「BungeeGuardによる保護」です。
これは、BungeeCordを使っている上に、Spigotサーバーのポートが解放されている状態でホストしている人にとっては重要となります。

例えば、AgamesでSpigotサーバー2つとBungeeCordを契約して運営している…
このような場合はSpigotサーバーのポートが解放されている状態ですよね。

または…BungeeCordのみVPSでホストしていて、Spigotサーバーはそのまま自宅でポート開放している。
これも当てはまります。

このような場合、Spigotサーバーに直接ログインして、通信を偽装することで他人に成りすますことが出来ます。
これを行われると、いかなる権限プラグインや他のプラグインもだますことが出来ます。

ではどうしたら良いか…簡単です。
BungeeGuardと呼ばれる、接続保護プラグインを使えば安全です。

BungeeGuardは、BungeeCordとSpigotの接続時に、専用のキーが必要になります。
もしSpigotに接続が来たとき、専用のキーが通信に無ければ、接続がはじかれます。

ユーザーはBungeeCordから接続すれば、今まで通り普通に接続できます。

設定も簡単でいろんな人が開設しているためお勧めです!

高度編

次は少し高度な事だったり、あまり知られていない事の対策です。

有料のAntiExploitの導入

まずは「有料のAntiExploitの導入」です。
無料であると、一部のExploitが対策されません。

最も重要な対策は「netty thread」への攻撃ですが、これは有料でない限り対策が難しいでしょう。
(または自分で作る)

お勧めのプラグインとして

  • ExploitFixer
  • LPX

があります。

ExploitFixer

月額の割と高性能なAntiExploitです。
他にもDupe等も一緒に対策してくれます。

月額と言っても、1ヶ月分だけ払えば、アップデートを受け取らないのであればずっと使い続けられます。
(当然アップデートは受った方が良いですが)

LPX

こちらは払いきりのAntiExploitです。
こちらはとにかくクラッシャー対策等に専門となっています。

抜け穴が見つかっても割とすぐ対策されていて、大手サーバーでも使われているほどです。

DiscordSRVからの権限付与

次は「DiscordSRVからの権限付与」です。
これは、DiscordSRVのコンソールフォワーディング機能を使って権限を付与するということです。

例えばDiscord専門の管理者が不正にマイクラ鯖で権限を取得するなどが出来る可能性があります。
またはマイクラ鯖でのみ処罰した管理者による復習が出来てしまう等がある可能性があります。

この抜け穴は「LuckPerms」や「PermissionEX」等、権限管理プラグインがインストールされている場合に発生しして、原因はDiscordSRVのデフォルト設定ではopとdeopコマンド以外なんでも実行してしまうことにあります。

対策方法は、DiscordSRVのconfig.ymlを変えて対応できます。

DiscordConsoleChannelBlacklistedCommands: ["?", "op", "deop", "execute", "lp", "luckperms"]

このような感じで、コンソールでLuckPerms関連のコマンド等を実行不可能にできます。

脆弱なパネルに対してのXSS

次は「脆弱なパネルに対してのXSS」です。
これはなかなかないはずですが、マイクラ内のチャットはコンソールに転送されますよね?
コマンドもコンソールログに転送されます。

それを利用して、XSSの文字列をチャットに送り、コンソールでXSS攻撃を成立させます。

XSSは少し高度であるため、簡単な説明を挟みます。
XSSとはクロスサイトスクリプティングの略称です。
(CrossですがCSSとかぶるためXSSと言われている)

これは、脆弱なサイトに対して、JavaScriptをインジェクションしたり出来る攻撃となっています。

詳細: https://www.softbanktech.co.jp/corp/hr/recruit/articles/83/

これは、適切に対策されていないコンソールパネルを使っているユーザーに対して有効です。

サイトにJavaScriptを埋め込み、コンソールに「op test」と送信させたりできます。
これを利用して自分に勝手にopを付与させるといったことが出来てしまいます。

対策は基本的に難しく、そのようなホストサービスやコンソールパネルを避けることが重要です。

番外編

番外編として「アカウント乗っ取り」について触れます。
Hypixelを名乗ったり、クラックのマイクラを使うと、乗っ取られる場合があります。

これは偽サイトではなく、公式の「OAuth2」と呼ばれるシステムが使われています。
つまりサイトのURLを見てもそれが乗っ取りなのかどうかはわからないということです。

見分ける方法として…以下は100%偽物です。

  • Discordの認証としてログインさせる(ただしサーバーに入って認証するタイプは良くある)
  • Hypixelを名乗ってログインさせる
  • クラックされたクライアントのAlt Managerを使う

これらは乗っ取りの危険性がとんでもなく高いです。
逆に以下は乗っ取りの可能性は低いです。

  • TLauncher等のAlt Manager
  • 正規のクライアントのAlt Manager(正規の有料クライアントや、安全な無料クライアント。)

十分に気を付けてからアカウントにログインしてくださいね。
公式サイトだからと気を抜いてはいけません、その前の段階で判断してください。

最後に

最後に、もっと対策するべきものはたくさんあると思いますが、今回はここまでです。

こっからさらに自分で調べてどんどんすきのない完璧なサーバーを目指してください!

では!

コメント

タイトルとURLをコピーしました