Kiểm tra AI-Helper-Menu an toàn: Kiến trúc, quy trình xây dựng và kiểm tra bảo mật

Quan trọng: AI-Helper-Menu được giới thiệu như một bộ công cụ gian lận Blooket. Việc sử dụng công cụ này trong các phiên chơi trực tiếp có thể tạo lợi thế không công bằng, vi phạm điều khoản của Blooket, khiến tài khoản bị đình chỉ hoặc gây rủi ro cho máy tính. Hướng dẫn này tập trung vào việc xem xét mã nguồn an toàn và đánh giá trong môi trường cô lập, thay vì triển khai chống lại dịch vụ.

AI-Helper-Menu Tuyên Bố Có Thể Làm Gì

AI-Helper-Menu là một dự án JavaScript thuần, không phụ thuộc thư viện, được thiết kế để chèn một bảng điều khiển có thể kéo thả vào các trang Blooket. Theo README, công cụ này móc vào các API trình duyệt gốc như fetch và WebSocket, theo dõi các thay đổi của trang và sửa đổi trạng thái trò chơi.

Kho mã nguồn mô tả phiên bản 2.0.0 là bản viết lại theo mô-đun với tốc độ chèn nhanh hơn, khả năng phát hiện chế độ trò chơi thích ứng, bộ nhớ đệm câu hỏi và giao diện theo phong cách glassmorphism. Đây là các tuyên bố của kho mã nguồn và không nên được xem là những khả năng đã được xác minh độc lập.

Các tính năng được tuyên bố

• Tự động trả lời: Chọn câu trả lời sau một khoảng trễ có thể cấu hình và lưu vào bộ nhớ đệm các câu hỏi đã gặp.
• Điều khiển xu và mở khóa: Tuyên bố có thể sửa đổi giá trị xu và mở khóa blook.
• Điều khiển tốc độ: Quảng bá hệ số từ 1× đến 5× cho bộ hẹn giờ, hoạt ảnh và vòng lặp.
• Tự động hóa phần thưởng: Tuyên bố có thể thu thập token hằng ngày và tiền thưởng.
• Sửa đổi trạng thái trò chơi: Quảng bá khả năng bảo vệ khỏi hình phạt và tự động hóa theo từng chế độ.
• Điều khiển danh tính: Tuyên bố có thể thay thế tên người dùng hiển thị bằng “Anonymous” trong các sảnh chơi trực tiếp.
• Mô phỏng thời gian: Tạo độ trễ ngẫu nhiên và thỉnh thoảng trả lời sai để mô phỏng hành vi của con người.

README cũng liệt kê các hành vi chuyên biệt cho Gold Quest, Tower Defense, Factory, Racing, Café, Crypto Hack, Fishing và Battle Royale. Tài liệu không cung cấp điểm chuẩn hoặc bằng chứng kiểm thử chứng minh mọi tính năng đều hoạt động.

Hiểu Rõ Rủi Ro Trước Khi Thiết Lập

Dự án không liên kết với Blooket. Tuyên bố miễn trừ trách nhiệm của chính dự án thừa nhận rằng gian lận có thể vi phạm quy định của nền tảng và dẫn đến việc tài khoản bị xử lý. Các tuyên bố như “không bị phát hiện”, “chống cấm” hoặc “chế độ thần” không phải là sự bảo đảm.

Việc cài đặt cũng đặt ra mối lo ngại đáng kể. Lệnh Windows được quảng bá sử dụng bitsadmin để tải tệp MSI từ https://devcodee.com/api, sau đó âm thầm chạy tệp bằng msiexec. Tên miền này khác với kho GitHub và lệnh này ẩn giao diện cài đặt thông thường.

Không chạy trình cài đặt được tải từ xa chỉ vì README gọi đó là “một cú nhấp”. Trước tiên, hãy kiểm tra mã nguồn, nguồn gốc, chữ ký số và hàm băm mật mã của nó. README không cung cấp checksum hoặc chữ ký cho tệp MSI.

Chuẩn Bị Môi Trường Đánh Giá Cô Lập

Để phân tích, hãy sử dụng một máy ảo có thể hủy bỏ, một hồ sơ trình duyệt riêng hoặc môi trường khác không chứa tài khoản cá nhân, mật khẩu đã lưu, cookie trình duyệt, thông tin đăng nhập trường học hoặc tệp nhạy cảm. Không đăng nhập Blooket trong quá trình kiểm tra.

Các biện pháp phòng ngừa được khuyến nghị

1. Mở kho mã nguồn trên GitHub và xem xét lịch sử commit, các nhánh, issue và giấy phép.
2. Chỉ tải xuống hoặc sao chép mã nguồn từ kho mà bạn đã kiểm tra.
3. Tránh trình cài đặt MSI âm thầm trong README và mọi tập lệnh được lấy từ tên miền chưa được xác minh.
4. Xem xét siêu dữ liệu gói và các tập lệnh build trước khi chạy lệnh Node.js.
5. Sử dụng tài khoản hệ điều hành không có đặc quyền thay vì tài khoản quản trị viên.
6. Giữ hồ sơ trình duyệt kiểm thử không có tiện ích mở rộng và các phiên đã xác thực.

Kiểm Tra Mã Nguồn Trước Khi Build

README xác định Node.js là công cụ build và cho biết bookmarklet đã biên dịch được ghi vào dist/bookmarklet.js. Tài liệu không mô tả mọi dependency build hoặc tệp mã nguồn, vì vậy hãy kiểm tra nội dung thực tế của kho trước khi tiếp tục.

Sao chép kho mã nguồn vào môi trường cô lập:

git clone https://github.com/bansheepatronmake/AI-Helper-Menu.git
cd AI-Helper-Menu

Trước khi chạy một npm script, hãy kiểm tra package.json. Đặc biệt chú ý đến scripts, các khai báo dependency và các lifecycle hook như preinstall, install, postinstall, prepare và prebuild.

node --version
npm --version
npm run

Lệnh cuối liệt kê các npm script hiện có mà không chọn tác vụ build. So sánh kết quả với lệnh npm run build được nêu trong README. Chỉ chạy build sau khi xác nhận script đó thực thi những gì.

npm run build

Theo README, một bản build thành công sẽ tạo ra dist/bookmarklet.js. Hãy mở tệp đó dưới dạng văn bản thay vì thực thi nó.

Những gì cần tìm kiếm

• Các đích mạng được tham chiếu bởi fetch, XMLHttpRequest, WebSocket hoặc các phần tử được tạo động.
• Việc thu thập cookie, local storage, session storage, token, tên người dùng hoặc dấu vân tay trình duyệt.
• Thực thi động thông qua eval, Function hoặc các chuỗi đã giải mã.
• Các lượt tải xuống, chuyển hướng hoặc lệnh gọi bất ngờ đến những tên miền không liên quan đến kho mã nguồn và Blooket.
• Việc ghi đè các biến toàn cục của trình duyệt như window.fetch hoặc window.WebSocket.
• Các phần đã được rút gọn hoặc làm rối mà không thể truy nguyên về các tệp mã nguồn dễ đọc.

So Sánh Mã Nguồn Và Kết Quả Build

Bookmarklet thường được nén thành một dòng duy nhất bắt đầu bằng javascript:. Chỉ riêng việc rút gọn mã không phải là bằng chứng cho hành vi độc hại, nhưng khiến việc kiểm tra thủ công khó hơn. Tệp được tạo phải tương ứng với mã nguồn và quy trình xây dựng đã được xem xét.

Một quy trình kiểm tra tính toàn vẹn hữu ích gồm:

1. Ghi lại chính xác commit Git đang được xem xét.
2. Xây dựng dự án trong một môi trường sạch.
3. Lưu giá trị băm mật mã của tệp được tạo.
4. Lặp lại quá trình xây dựng trong một môi trường sạch thứ hai.
5. So sánh các đầu ra và điều tra những khác biệt không thể giải thích.

Ví dụ, người kiểm tra trên Windows có thể tính giá trị băm SHA-256 bằng:

certutil -hashfile dist\bookmarklet.js SHA256

Trên macOS hoặc Linux, lệnh kiểm tra tương đương là:

shasum -a 256 dist/bookmarklet.js

Giá trị băm xác lập danh tính tệp, không xác nhận tính an toàn. Nó chỉ hữu ích khi được so sánh với đầu ra được tạo từ mã nguồn đáng tin cậy đã được xem xét.

Hiểu các phương thức tải được mô tả

README mô tả ba cách thực thi tập lệnh đã biên dịch: bookmarklet, userscript của Tampermonkey và chèn trực tiếp vào console. Cả ba đều cấp cho mã quyền truy cập vào trang hiện tại và ngữ cảnh JavaScript của trang đó.

Bookmarklet

Phương thức bookmarklet được mô tả sẽ sao chép dòng đã tạo từ dist/bookmarklet.js vào một dấu trang của trình duyệt. Khi nhấp vào dấu trang đó, tập lệnh sẽ được thực thi trên trang hiện tại. Cách này thuận tiện, nhưng bookmarklet có thể đọc hoặc sửa đổi dữ liệu mà JavaScript trên trang đó có thể truy cập.

Userscript Tampermonkey

README đề xuất bọc mã đã tạo trong một userscript được cấu hình để khớp với https://*.blooket.com/*. Userscript tự động tải có quyền truy cập liên tục trên các trang phù hợp, vì vậy cả mẫu khớp và nguồn cập nhật đều là các ranh giới bảo mật quan trọng.

Siêu dữ liệu được mô tả xác định phiên bản 2.0.0 và sử dụng @grant none. Thiết lập này không khiến tập lệnh trở nên vô hại; nó có nghĩa là mã hoạt động trong ngữ cảnh của trang mà không sử dụng các API userscript đặc quyền.

Console trình duyệt

Phương thức console loại bỏ tiền tố javascript: và thực thi phần mã còn lại thông qua công cụ dành cho nhà phát triển. Việc dán mã không rõ nguồn gốc vào console đặc biệt rủi ro vì mã chạy ngay lập tức với quyền truy cập vào trang đang mở.

Không kiểm thử bất kỳ phương thức tải nào trong số này trên tài khoản thật hoặc phiên lớp học đang diễn ra. Việc xem xét mã nguồn không đảm bảo rằng sẽ không xảy ra hình phạt tài khoản, gián đoạn dịch vụ hoặc lộ dữ liệu.

Ví dụ phân tích an toàn cơ bản

Thay vì chạy tập lệnh trên Blooket, hãy bắt đầu bằng việc kiểm tra tĩnh. Tìm kiếm các móc trình duyệt và địa chỉ bên ngoài trong tệp được tạo cũng như cây mã nguồn. Các lệnh chính xác có thể dùng sẽ phụ thuộc vào hệ điều hành và các công cụ đã cài đặt.

grep -R "WebSocket" .
grep -R "fetch" .
grep -R "localStorage" .
grep -R "https://" .

Với mỗi kết quả khớp, hãy lần theo nguồn gốc của dữ liệu, cách dữ liệu được biến đổi và nơi dữ liệu được gửi đến. Xác nhận rằng mọi máy chủ bên ngoài đều cần thiết và được mô tả trong tài liệu. Hãy xem các URL được mã hóa hoặc tên máy chủ được tạo động là những phát hiện cần được xem xét sâu hơn.

Bạn cũng có thể kiểm tra xem đầu ra xây dựng có chứa tên miền trình cài đặt được README đề cập hay không:

grep -R "devcodee.com" .

Không tìm thấy kết quả khớp không chứng minh được tính an toàn, vì các chuỗi có thể được mã hóa hoặc tạo trong thời gian chạy.

Mẹo xem xét nâng cao

Kiểm tra các móc API gốc

README nêu rõ việc can thiệp vào fetch và WebSocket. Hãy kiểm tra xem các hàm ban đầu có được giữ lại hay không, những thông điệp nào được đọc hoặc thay đổi, và liệu các móc có được khôi phục khi menu đóng hay không. Các móc được triển khai kém có thể làm hỏng hoạt động của trang ngay cả khi không có ý định độc hại.

Xem xét ranh giới sửa đổi trạng thái

Các tuyên bố liên quan đến xu, vật phẩm mở khóa, phần thưởng hoặc trạng thái bị can thiệp cho thấy có nỗ lực thay đổi dữ liệu được một dịch vụ bên thứ ba sử dụng. Hãy xác định xem các thay đổi chỉ mang tính hiển thị và cục bộ hay mã có gửi các giá trị đã sửa đổi đến hệ thống từ xa hay không. Không gửi lưu lượng kiểm thử đến các dịch vụ sản xuất nếu chưa được cấp phép.

Kiểm tra cập nhật tự động

FAQ cho biết người dùng Tampermonkey có thể tự động cập nhật khi URL tập lệnh trỏ đến tệp phân phối thô. Cập nhật tự động tạo ra rủi ro chuỗi cung ứng vì mã về sau có thể khác với phiên bản đã được xem xét ban đầu. Hãy cố định một commit cụ thể trong quá trình phân tích thay vì theo dõi một nhánh có thể thay đổi.

Kiểm tra nguồn gốc bản phát hành

Hãy tìm các thẻ đã ký, hiện vật phát hành có thể tái tạo, giá trị băm được công bố và thông tin maintainer được ghi chép. README đánh dấu GitHub Actions là tính năng dự kiến, nên không tuyên bố có một quy trình kiểm thử và phát hành tự động đã được thiết lập.

Tách biệt tuyên bố về giao diện và bảo mật

Giao diện tối có thể kéo, phím tắt và kiểu CSS có thể được đánh giá độc lập với hành vi “chống cấm”. Thời gian ngẫu nhiên và những lỗi xảy ra đôi khi không chứng minh rằng việc phát hiện ở phía máy chủ đã bị vô hiệu hóa. Hãy xem các tuyên bố về khả năng chống phát hiện là chưa được xác minh, trừ khi có phương pháp minh bạch và kiểm thử được cấp phép hỗ trợ.

Phím tắt được README liệt kê

Tài liệu dự án gán F11 để bật hoặc tắt menu, Ctrl+Shift+A để bật hoặc tắt Auto Answer và Ctrl+Shift+C để bật hoặc tắt Unlimited Coins. Tài liệu cũng cho biết có thể di chuyển menu bằng cách kéo phần tiêu đề. Cần kiểm tra các phím tắt này để tránh xung đột, vì trình duyệt thường dành F11 cho chế độ toàn màn hình.

Giấy phép và sử dụng có trách nhiệm

Kho mã cho biết mã được phân phối theo Giấy phép MIT. Giấy phép nguồn mở cho phép sử dụng, sửa đổi và phân phối mã theo các điều khoản đã nêu, nhưng không cho phép can thiệp vào nền tảng của bên thứ ba hoặc phớt lờ các điều khoản sử dụng của nền tảng đó.

Bản README tự cảnh báo không nên sử dụng cho mục đích cạnh tranh và thừa nhận khả năng bị đình chỉ. Vì vậy, nghiên cứu có trách nhiệm nên được thực hiện cục bộ, cô lập và được cấp phép. Các mối lo ngại về bảo mật có thể được báo cáo thông qua trình theo dõi issue của kho lưu trữ mà không công khai thông tin đăng nhập hoặc dữ liệu nhạy cảm khác.

Kết luận

AI-Helper-Menu mô tả một bookmarklet JavaScript và userscript kết nối với các API của trình duyệt, đồng thời thay đổi hành vi của trò chơi Blooket. Kiến trúc không phụ thuộc và khả năng tích hợp với trình duyệt của công cụ này có thể được nghiên cứu dưới góc độ JavaScript, nhưng mục đích gian lận, các tuyên bố chưa được xác minh về khả năng chống phát hiện và trình cài đặt MSI của bên thứ ba hoạt động âm thầm đòi hỏi sự thận trọng. Hãy xem xét mã nguồn trong môi trường cô lập, xác minh từng bước build, tránh sử dụng tài khoản thật và không triển khai công cụ này trên các hệ thống khi chưa được cấp phép.