公告 【处理公告】关于开发者「米饭」插件中远程下发 SQL 行为的处理决定

[大雪无寒]

尊敬的各位用户：

近期，MineBBS 管理团队在日常安全巡检及用户举报中发现，开发者@ヽ米 饭所发布的部分插件存在通过远程服务器动态下发 SQL 指令的行为。经平台安全技术组复核确认，该行为在未经过用户知情与授权的情况下，构成严重安全隐患，并具备远程操控能力，平台据此认定为远程代码执行（RCE）级别的后门行为。

鉴于涉事插件为付费闭源插件，平台无法进行源码审计，且相关逻辑可能存在更新后安全降级或规避校验机制等进一步风险，即便其初衷为防止盗版，也不足以构成此类机制合法存在的正当理由。为维护平台用户的数据安全与插件生态的健康发展，MineBBS 管理团队决定对该行为予以严肃处理，并发布本公告以向全体用户说明情况。

---

一、事件概述​

经调查确认，@ヽ米 饭发布的若干插件中存在以下行为：

• 插件运行时主动连接远程服务器并请求 SQL 指令；
• 所接收的 SQL 指令被直接在用户服务器的数据库环境中执行；
• 全程未明确提示用户该行为的存在，亦未征得用户授权。

该行为对服务器安全构成以下潜在威胁：

1. 远程篡改或删除数据库数据；
2. 插入恶意 SQL 影响插件功能逻辑或篡改用户权限；
   • LOAD_FILE()：读取服务器任意文件，可能包括数据库配置文件、系统密钥、密码明文等；
   • INTO OUTFILE：将任意数据写入服务器文件系统，潜在创建后门脚本或非法文件；
   • sys_exec()、xp_cmdshell（部分数据库环境支持）：直接执行系统命令，危及主机层安全。

该类机制一旦被滥用，将可在用户不知情的情况下对服务器造成不可逆影响。平台据此将其行为认定为远程代码执行（RCE）后门。

---

二、处理决定​

结合该事件的严重性，以及插件闭源、不可审计、存在绕过机制的可能，MineBBS 管理团队根据《Java版多人游戏-服务端插件区资源发布规范》与安全事件处理流程，决定对开发者@ヽ米 饭采取以下措施，自公告发布之时起立即生效：

• 封禁其平台账号 6 个月；
• 下架其名下全部涉事插件；
• 记录“永久警告”1 次，作为后续封禁及上架限制的重要参考依据；
• 扣除论坛积分 3000 金粒，作为违规处理罚款；
• 若未来再次发现类似行为，平台将直接永久封禁其账号，并对全体用户进行安全通报。

---

三、平台安全立场​

MineBBS 致力于建设一个公开、透明、安全可信的插件生态环境，任何破坏用户信任的行为都将受到严肃追责。

我们明确重申：任何形式的远程代码注入、动态执行、不经授权的数据修改机制，无论出于何种目的，一经查实即视为后门行为处理。

我们理解部分开发者希望通过远程授权机制来对抗盗版问题，但一切安全相关的功能设计，必须以用户知情、用户控制、平台可审为前提。本次事件也再次表明，“闭源”不能成为缺乏透明性的借口，用户的数据安全永远优先于商业保护策略。

---

四、用户建议与风险排查​

请所有曾经使用过「米饭」插件的用户，尽快停用相关插件，并进行以下检查操作：

• 确认数据库账户权限，建议移除 FILE、EXECUTE、SUPER 等高权限；
• 检查数据库操作日志及表结构是否存在异常变更或未知账户；
• 审查服务器文件系统，排查是否存在非正常写入的可疑文件；
• 如您的环境中存在多插件联动行为，建议全面审查是否存在通过 SQL 注入扩散的风险。

如您在排查过程中发现异常或需要技术支持，可通过站内私信或邮箱联系我们，我们将为您提供必要的协助。

---

MineBBS 管理团队将持续强化插件审核与检测体系，欢迎广大用户继续监督与举报，共同维护良好的社区氛围。

感谢各位用户一贯的信任与支持。

如有异议，请在本帖下回复或联系管理员。

MineBBS 管理团队
2025 年 4 月 4 日​

 

[266]

好好好

 

[TATyKeFei]

路边一条好似，复制粘贴别人开源宠物插件卖288RMB的那件事后就全换替代插件了
这里有米饭替代插件和米饭其他更多详细事件

 

[jhqwq]

大快人心

 

[redReaper]

不知道涉事插件有涉及到付费的插件吗，
如果以后有其他的，圈钱又后门的插件，个人建议加重处罚，这种行为太恶劣了

（并不是指这个插件就是圈钱的后门插件，而是对于真正的圈钱后门插件，能赔偿受害者那更好了）

 

[大雪无寒]

不知道涉事插件有涉及到付费的插件吗，
如果以后有其他的，圈钱又后门的插件，个人建议加重处罚，这种行为太恶劣了

（并不是指这个插件就是圈钱的后门插件，而是对于真正的圈钱后门插件，能赔偿受害者那更好了）

目前来看只有付费插件采取了该机制