Gronkh? Notch? joinen auf den Server - Serverauthentifizierungsbug

pinned temporarily

Bei Craftbukkit wurde der Bug bereits mit Build #2864 behoben.

Auch wenn die Erfolgsrate des Exploits bei Craftbukkit deutlich geringer ist, kann ein Update nur empfohlen werden.

Und hier nochmal der Ablauf in Deutsch:
1. Client schickt Handshake Paket mit dem Username, der Serverip und dem Serverport an den Server
2. Server setzt Username
3. Server antwortet mit einer zufällig generierten Serverid
4. Client schickt Http Request an session.minecraft.net. Wenn nicht ok zurückgegeben wird, Bad Login (Client kickt sich selbst).
5. Client schickt COMMAND Packet an den Server
6. Server erstellt einen Thread, der den User überprüft
7. Nach dem Überprüfen werden die ganzen Login Pakete verboten.

Der Bug funktioniert so:
Nach dem der Server die Url in den BufferedReader geschrieben hat (und bevor der Server die Antwort ok bekommt) wird noch mal ein Handshake Paket mit einem anderen Namen geschickt (z.B. Gronk).

Dadurch wird der Spieler mit dem Namen Howaner überprüft, aber der Name wird beim 2. Handshake Paket auf z.B. Gronkh gesetzt.

Quote:

Originally Posted by xXJustiinXx Durch einen Patch in Spigot ist wohl ein größerer Exploit im Authentication Prozess von Minecraft entdeckt worden. Alle Nutzer von Spigot Build #1082 bis #1089 sollen bitte umgehend auf #1090 oder höher wechseln. Dort wurde der Bug gefixt. Wenn auch mit einer geringeren Chance sind von diesem Bug auch Vanilla und Craftbukkit betroffen. Auf Reddit wird bei Vanilla und Craftbukkit von einer Erfolgsrate von unter 1% gesprochen. Durch Automatisierung des Exploits ist dies aber immernoch genug um den Fehler auszunutzen. Der Bug wird in Vanilla mit dem nächsten Update gefixt, Craftbukkit arbeitet bereits an einem Patch und Spigot ist ab Build #1090 nicht mehr von diesem Bug betroffen. Bis ein Bugfix für Craftbukkit und Vanilla erschienen ist sollten Admins ihr Serverlog im Auge behalten. Quellen: [Only registered and activated users can see links. Click Here To Register...] [Only registered and activated users can see links. Click Here To Register...] [Only registered and activated users can see links. Click Here To Register...] Link zu Spigot: [Only registered and activated users can see links. Click Here To Register...] (momentan #1094, also der gefixte)

Unter einem Prozent kann nicht sein. Ich habe den Exploit selbst nachgeschrieben. Und die Erfolgchance auf Craftbukkit sowie Vanilla war 100%. Zwar muss man ein bisschen mit dem Delay spielen, wann der zweite Handshake geschickt werden soll aber lässt sich alles schön automatisieren.

Einfach die aktuellste Devbuild von Craftbukkit nehmen
, die ist fixxed.

Mit freundlichen Grüßen

Probber

Die Erfolgchance ist nicht auf 100%.
Höchstens 10%. Du musstest das Paket in den richtigen Ticks senden.

Ist der Thread noch wichtig?
1.6.2 ist wieder Vergangenheit.
Könnte man eig. wieder unpinnen.