Guide to Lua Script Security / Руководство по безопасности Lua-скриптов

[forna]

(ENGLISH)

Hello everyone,
I'm creating this thread to share something important for the entire community, especially for new users who download Lua scripts.
The Nixware Lua API is incredibly powerful. It gives script developers access to low-level functions like os.execute and ffi. While this allows for amazing and complex scripts, it also creates a significant security risk if you run code from an untrusted source.
To demonstrate what this means in practice, I've created an "Ethical Security Demonstration Script".
What this script does:

1. It will first display a bilingual warning message explaining the risks.
2. After you click "OK", it will create a text file directly on your Windows Desktop named A_MESSAGE_FOR_[YourUsername].txt.
3. It will then automatically open this file for you.

This action is completely harmless, but it serves as undeniable proof that a script running inside the game can read your system information (like your username) and create/modify files anywhere on your computer.
You can see screenshots of the script in action attached to this post.
What are the REAL risks?
If a script can do this, a malicious one could easily:

• Steal your browser passwords, crypto wallets, and session tokens for Discord, Steam, etc.
• Scan your personal files and upload them to a remote server.
• Install a keylogger to record everything you type.
• Encrypt your files and demand a ransom (Ransomware).

The Golden Rule for Your Safety:
The goal of this post is not to cause panic, but to educate. The power of the API is a feature, but it requires you to be responsible.

• NEVER run scripts from sources you don't 100% trust.
• Be EXTREMELY cautious with any script that has its code hidden or "obfuscated". Ask yourself: why are they hiding it?

For full transparency, the complete, clean source code of my demonstration script is available for anyone to review. I can share it here if requested.
Stay safe everyone.

---

---

---

(РУССКИЙ)
Всем привет,
Я создаю эту тему, чтобы поделиться кое-чем важным со всем сообществом, особенно с новыми пользователями, которые скачивают Lua-скрипты.
API Lua в Nixware невероятно мощное. Оно дает разработчикам скриптов доступ к низкоуровневым функциям, таким как os.execute и ffi. Хотя это позволяет создавать удивительные и сложные скрипты, это также создает значительный риск безопасности, если вы запускаете код из непроверенного источника.
Чтобы наглядно продемонстрировать, что это значит, я создал «Этичный демонстрационный скрипт безопасности».
Что делает этот скрипт:

1. Сначала он покажет двуязычное предупреждающее сообщение, объясняющее риски.
2. После того как вы нажмете «ОК», он создаст текстовый файл прямо на вашем рабочем столе Windows с именем A_MESSAGE_FOR_[ВашеИмяПользователя].txt.
3. Затем он автоматически откроет этот файл для вас.

Это действие абсолютно безвредно, но оно служит неопровержимым доказательством того, что скрипт, запущенный внутри игры, может читать системную информацию (например, ваше имя пользователя) и создавать/изменять файлы в любом месте на вашем компьютере.
Вы можете увидеть скриншоты работы скрипта в прикрепленных к этому посту файлах.
Каковы РЕАЛЬНЫЕ риски?
Если скрипт может делать это, то вредоносный скрипт может легко:

• Украсть ваши пароли от браузеров, криптокошельки и токены сессий для Discord, Steam и т.д.
• Просканировать ваши личные файлы и загрузить их на удаленный сервер.
• Установить кейлоггер, чтобы записывать все, что вы печатаете.
• Зашифровать ваши файлы и потребовать выкуп (программы-вымогатели).

Золотое правило для вашей безопасности:
Цель этого поста — не вызвать панику, а просветить. Мощь API — это его особенность, но она требует от вас ответственности.

• НИКОГДА не запускайте скрипты из источников, которым вы не доверяете на 100%.
• Будьте КРАЙНЕ осторожны с любыми скриптами, код которых скрыт или «обфусцирован». Спросите себя: почему они его прячут?

Для полной прозрачности, полный и чистый исходный код моего демонстрационного скрипта доступен для всех желающих. Могу поделиться им здесь по запросу.
Берегите себя.