Remover o quanto antes o comando `terminal`

[saiintbrisson]

O comando abre infinitas possibilidades para futuros problemas de segurança

System/src/rush/comandos/ComandoSystem.java

Line 763 in 0210abb

if (cmd.equals("terminal") || cmd.equals("cmd") || cmd.equals("prompt")) {

[aripiprazole]

Só dar merge #8

concordo com isso ai memo lek

[ThiaagoMP]

Remover o quanto antes o plugin 'System'

Remover o quanto antes o plugin 'System'

apoio

[eduardo-mior]

O comando /system terminal é um sub-comando do comando /system que é um comando administrativo, e esta destinado aos administradores do servidor.

Apenas os usuários que tem a permissão system.system podem utilizar este comando.

A permissão system.system da acesso a todos os sub-comandos do comando /system.

Se você não quer que ninguém use o comando /system terminal então não de permissão para usar o comando /system, ou simplesmente desative o comando /system no arquivo de configuração comandos.yml https://github.com/eduardo-mior/System/blob/master/resources/comandos.yml#L328

Não é só o sub-comando /system terminal que pode causar "problemas de segurança", todos os outros sub-comandos também podem causar isso, como por exemplo o /system stop /system plugin /system console e assim por diante.

Até hoje esse comando nunca deu problema pra ninguém, alias, ele já ajudou muitas pessoas, então não faz sentido remove-lo do plugin. Se você não quer que ninguém use ele então não de permissão para ninguém usa-lo, ou desative-o nas configurações do plugin.

[saiintbrisson]

Não remover o comando é ignorar o problema óbvio de segurança, uma simples permissão não é o suficiente pra proteger algo que mexa fora do próprio servidor. A falha é clara pra qualquer um com o mínimo de noção, os donos de servidores que não entendem o risco ficam abertos a ataques que podem ser evitados com a simples remoção do comando.

[aripiprazole]

Além do comando ser claramente inútil

[zkingboos]

Não remover o comando é ignorar o problema óbvio de segurança, uma simples permissão não é o suficiente pra proteger algo que mexa fora do próprio servidor. A falha é clara pra qualquer um com o mínimo de noção, os donos de servidores que não entendem o risco ficam abertos a ataques que podem ser evitados com a simples remoção do comando.

Mas ele quer deixar um comando que simplesmente nunca deveria existir

[eduardo-mior]

@Lorenzoog não é porque você nunca usa o comando que ele é inutil.

@saiintbrisson ninguém aqui esta ignorando nada. Todo o minecraft é baseado em sistema de permissões, é só você não dar permissão pra usar o comando que não vai acontecer nada. Até hoje NINGUÉM teve problema com esse comando e ele já esta a mais de 2 anos rodando tranquilamente.
Se você acha que só a permissão não é o suficiente pra proteger o comando, então vamos colocar uma autenticação em 2 fatores pra usar o comando.

[eduardo-mior]

Na próxima versão eu vou criar uma config chamada HabilitarComandoTerminal que vai ir DESABILITADA por padrão. Ai quem quiser usar o sub-comando ativa ele na config.

[aripiprazole]

@Lorenzoog não é porque você nunca usa o comando que ele é inutil.

@saiintbrisson ninguém aqui esta ignorando nada. Todo o minecraft é baseado em sistema de permissões, é só você não dar permissão pra usar o comando que não vai acontecer nada. Até hoje NINGUÉM teve problema com esse comando e ele já esta a mais de 2 anos rodando tranquilamente.
Se você acha que só a permissão não é o suficiente pra proteger o comando, então vamos colocar uma autenticação em 2 fatores pra usar o comando.

Entendo seu ponto, mas n faz sentido ter um comando para mexer no host do plugin, coisa q pode ser feita por outro lugar e convenhamos, com mta mais segurança doq num server de minecraft,
coisas como baixar plugins, excluir a pasta do server podem ser simplesmente feitas por esse comando(o que abre milhares de brechas de segurança pra quem n sabe oq faz), e n faz nenhum sentido existir uma função como essa, em qualquer serviço, n só em um server de minecraft eu digo, tanto num site quanto num sistema maior

[ThiaagoMP]

@Lorenzoog não é porque você nunca usa o comando que ele é inutil.

@saiintbrisson ninguém aqui esta ignorando nada. Todo o minecraft é baseado em sistema de permissões, é só você não dar permissão pra usar o comando que não vai acontecer nada. Até hoje NINGUÉM teve problema com esse comando e ele já esta a mais de 2 anos rodando tranquilamente.
Se você acha que só a permissão não é o suficiente pra proteger o comando, então vamos colocar uma autenticação em 2 fatores pra usar o comando.

" @Lorenzoog não é porque você nunca usa o comando que ele é inutil."

Eu acho que qualquer um que tenha o mínimo de noção sobre programação ao ler o código nem o plugin irá usar.

[eduardo-mior]

@ThiaagoMP É exatamente por causa desse código ai que o plugin nunca apareceu em nenhum timmings, já possui mais de 50 mil downloads e é usado atualmente por mais de 500 servidores.

@Lorenzoog Na verdade faz bastante sentido no caso do minecraft porque tem diversas hosts que não disponibilizam acesso a um terminal para executar comandos. Além disso já vi pessoas usando o system terminal para listar/parar/iniciar/reiniciar services que estão rodando na maquina, usando o system terminal pra monitorar status da memória e do processamento do servidor, usando pra apagar arquivos do servidor, usando para ver informações do servidor (memória, processador etc.. inclusive teve gente que descobriu fraudes em hosts por causa disso, a host falava que oferecia um processador X mas quando você analisava era outro processador muito inferior).

Em fim, eu poderia citar aqui diversas utilidades desse comando, mas isso não invalida o seu argumento da questão da segurança. Então para a próxima versão irei criar uma config pra habilitar e desabilitar apenas esse sub-comando especifico.

[ThiaagoMP]

@ThiaagoMP É exatamente por causa desse código ai que o plugin nunca apareceu em nenhum timmings, já possui mais de 50 mil downloads e é usado atualmente por mais de 500 servidores.

Parabéns 50 mil pessoas desinformadas baixaram seu plugin para usar em seus respectivos servidores.