FiveM Backdoor-Scanner

Was der Backdoor-Scanner prüft

• Code nach einer langen Reihe von Leerzeichen: ein Loader, der an eine normale Zeile angehängt ist und in keinem Editor sichtbar ist (in Lua- und JS-Dateien).
• load() oder loadstring() auf den Inhalt einer HTTP-Antwort: Wer diesen Webserver kontrolliert, kann beliebigen Code auf deinem Server ausführen.
• load() auf Text, der erst zur Laufzeit dekodiert wird: string.char-Listen, escapte Bytes oder Base64-Decoder.
• Lange verschleierte Strings: escapte Bytes, Base64- oder Hex-Blöcke und lange string.char-Listen.
• Zugriffe auf sv_licenseKey, rcon_password oder sv_tebexSecret und auf den Datenbank-Connection-String in einer Datei, die auch HTTP-Anfragen sendet.
• HTTP-Anfragen an nackte IP-Adressen oder an Adressen, die erst zur Laufzeit dekodiert werden.
• os.execute und io.popen, Schreibzugriffe außerhalb der Ressource und SaveResourceFile in andere Ressourcen.
• Ausführbare Dateien (.exe, .bat, .ps1 …) und Archiveinträge, die außerhalb ihres Ordners entpackt würden.

Wie eine Backdoor auf einen FiveM-Server kommt

Die meisten Backdoors stecken in einer Ressource: einer geleakten oder „kostenlosen“ Kopie eines bezahlten Scripts oder einem Server-Pack, das auf Discord weitergereicht wird. Der sichtbare Code funktioniert wie beschrieben, deshalb fällt nichts auf.

Die Payload ist meist klein. Ein häufiges Muster schiebt einen Loader Tausende Leerzeichen rechts neben eine normale Zeile, wo kein Editor ihn zeigt; ein anderes lädt Code per PerformHttpRequest und führt die Antwort mit load() aus. Sobald er läuft, kann er sich mit SaveResourceFile in deine anderen Ressourcen kopieren. Deshalb ist ein infiziertes Script selten das einzige.

Was ein Ergebnis bedeutet

Versteckter Code hinter Leerzeichen ist der einzige Fund ohne legitimen Zweck. Behandle diese Dateien als kompromittiert.

Die anderen Funde sind Hinweise, keine Urteile. Ein Anticheat liest vielleicht Convars, ein Logging-Script ruft eine nackte IP auf und manche Bibliotheken liefern Base64-Daten mit. Lies die markierte Zeile und entscheide.

Ein sauberes Ergebnis heißt: In den Dateien, die der Scanner lesen konnte, wurde keines dieser Muster gefunden. Escrow-verschlüsselten Code und kompiliertes Lua kann er nicht lesen, und eine neue Verschleierungstechnik kann an Musterprüfungen vorbeirutschen. Die Liste unter „Nicht geprüft“ zeigt genau, was ausgelassen wurde.

Wenn der Scanner eine Backdoor findet

1. Stoppe den Server oder zumindest die betroffene Ressource.
2. Prüfe den ganzen resources-Ordner, nicht nur die verdächtige Ressource: Die Backdoor kann sich kopiert haben.
3. Ersetze infizierte Ressourcen durch eine saubere Kopie vom ursprünglichen Autor, statt einzelne Zeilen zu löschen.
4. Ändere sv_licenseKey (Cfx.re Portal), rcon_password, dein Tebex-Secret, dein Datenbankpasswort und alle Discord-Bot-Tokens oder Webhooks in deinen Dateien.
5. Prüfe server.cfg und txAdmin auf Admins sowie add_ace- oder add_principal-Zeilen, die du nicht selbst angelegt hast, und deine Datenbank auf unbekannte Admin-Gruppen.
6. Prüfe erneut, bevor du den Server startest.

Häufige Fragen

Werden meine Dateien hochgeladen?

Nein. Der Scanner liest die ZIP oder den Ordner in deinem Browser und führt jede Prüfung dort aus. Nichts wird an RPScripts gesendet.

Kann ich meinen ganzen Server prüfen?

Ja. Wähle deinen resources-Ordner oder packe ihn als ZIP (bis 300 MB). Jede Lua- und JS-Datei bis 2 MB wird geprüft, insgesamt bis 120 MB Code. Gestreamte Assets wie .ytd- oder .yft-Dateien sind kein Code und werden übersprungen.

Kann er Escrow-geschützte Ressourcen prüfen?

Nein. Cfx-Escrow verschlüsselt die geschützten Dateien, und nur FXServer kann sie entschlüsseln. Der Scanner prüft die Dateien, die eine Ressource lesbar lässt, und listet die Escrow-Ordner unter „Nicht geprüft“ auf.

Garantiert ein sauberes Ergebnis, dass mein Server sicher ist?

Nein. Der Scanner sucht nach den Mustern, die bekannte Backdoors nutzen. Verschlüsselten oder kompilierten Code kann er nicht beurteilen, und er ersetzt nicht, Ressourcen vom ursprünglichen Autor zu beziehen und deine Zugangsdaten geheim zu halten.

Ist der Backdoor-Scanner kostenlos?

Ja. Er braucht kein Konto und hat kein Prüflimit.

Teste eine Ressource vor der Installation

Der FiveM Script Tester führt dieselben Sicherheitsprüfungen für eine Ressource aus, dazu Manifest, Lua, Framework-API und Events, und startet sie in einer CfxLua-Sandbox.

Der Cfx.re-Leitfaden zur Serversicherheit erklärt, wie du deine eigenen Events absicherst.