FiveM Sunucu Güvenliği: Trigger Injection Engelleme ve Backdoor Temizleme Rehberi (2026)

FiveM Sunucu Güvenliği Neden Hayati Önem Taşır?

Bir FiveM sunucusu açtığınızda karşılaştığınız en büyük tehditlerden biri, oyuncu kitlenizi ve emeğinizi hedef alan kötü niyetli yazılımlardır (executor/mod menüler) ve kaçak scriptlerle sunucunuza sızan backdoor (arka kapı) kodlarıdır. Hileciler sıklıkla korumasız bırakılmış istemci-sunucu (Client-to-Server) haberleşmelerini suistimal ederek sunucu ekonomisini çökertebilir veya sunucu yetkilerini ele geçirebilir.

Bu rehberde, 2026 yılı standartlarında FiveM sunucunuzu korumanın, event injection saldırılarını engellemenin ve gizli cipher/backdoor kodlarını temizlemenin teknik adımlarını inceleyeceğiz.

1. Trigger Event Injection Tehlikesi ve Server-Side Doğrulama

Acemi geliştiricilerin yaptığı en büyük hata, istemciye (Client) güvenmektir. Hile araçları (Lua Executor), client tarafında çalışan tüm event'leri görebilir ve bunları istedikleri parametrelerle sunucuya gönderebilir.

Hatalı ve Güvensiz Kod Örneği (Exploit Edilebilir)

-- CLIENT
-- Hileci bu event'i trigger ederek istediği miktarda para basabilir!
TriggerServerEvent('esx_job:payReward', 500000)

Güvenli ve Doğrulanmış Kod Örneği (2026 Standartları)

Saldırganların event'leri suistimal etmesini önlemek için sunucu tarafında mesafe (distance) ve durum (state) doğrulaması ekleyin:

-- SERVER (resources/[scripts]/my_job/server/main.lua)
RegisterNetEvent('my_job:claimReward', function()
    local src = source
    local playerPed = GetPlayerPed(src)
    local playerCoords = GetEntityCoords(playerPed)
    local targetCoords = vector3(245.0, -320.0, 45.0) -- İş teslim noktası

    -- 1. Mesafe Kontrolü: Oyuncu gerçekten teslimat noktasında mı?
    if #(playerCoords - targetCoords) > 5.0 then
        -- Oyuncu noktada değilse hile teşebbüsüdür!
        print(string.format('[GÜVENLİK UYARISI] ID %s yetkisiz event tetikledi!', src))
        -- Buraya ban veya kick fonksiyonunuzu ekleyin
        DropPlayer(src, 'Güvenlik İhlali: Yetkisiz İşlem (Event Injection)')
        return
    end

    -- 2. Sunucu Tarafı Mantık Kontrolü ve Ödül Verme
    local rewardAmount = 1500 -- Miktarı istemciden almayın, sunucuda sabitleyin
    -- Para verme kodunuz (ox_inventory / qb-core / esx)
    -- exports.ox_inventory:AddItem(src, 'money', rewardAmount)
end)

2. Gizli Backdoor ve Cipher Zararlılarını Bulma ve Temizleme

İnternetten indirilen ücretsiz ("leaked") veya kaynağı belirsiz scriptler genellikle PerformHttpRequest veya karmaşıklaştırılmış (obfuscated) Cipher kodları içerir. Bu kodlar, sunucunuz başladığında yetkisiz kişilere rcon/admin yetkisi verir veya sunucu dosyalarınızı dışarıya sızdırır.

Adım Adım Backdoor Taraması:

1. 1Sunucu klasörünüzün ana dizinine gidin.
2. 2Visual Studio Code veya bir metin düzenleyici ile resources/ klasörünü açın.
3. 3Tüm dosyalarda küresel arama (Ctrl + Shift + F) yapın ve şu terimleri aratın:

• PerformHttpRequest
• assert(load(
• cipher
• enigma
• \x52\x43\x4f\x4e (Hex formatında gizlenmiş kodlar)

Eğer bu tür güvenlik açıklarıyla tek tek uğraşmak istemiyorsanız, tüm event güvenlik önlemleri alınmış ve detaylıca test edilmiş DxAV1 - Roleplay Paketi çözümümüzü inceleyebilirsiniz.

3. server.cfg Güvenlik Sertleştirmesi

Sunucu yapılandırma dosyanız olan server.cfg üzerinde yapacağınız doğru ayarlamalar, sunucunuzun güvenliğini doğrudan artırır.

Dosya Yolu: server.cfg

# FXServer Güvenlik ve Yetkilendirme Ayarları

# 1. RCON Parolasını Devre Dışı Bırakın (RCON kullanımı önerilmez)
# rcon_password "" (Bu satırı tamamen kaldırın veya boş bırakın)

# 2. Scriptlerin Ekstra Yetkilerini Kısıtlayın (ACE Permissions)
# Sadece güvendiğiniz scriptlere admin yetkisi verin
add_ace resource.qb-core command allow # Sadece ana framework için

# 3. İstemci Tarafı Native Koruması
sv_scriptHookAllowed 0 # Mod menülerin sunucuya bağlanmasını engeller (0 = Kapalı)

# 4. HTTP ve P2P Güvenliği
sv_endpointprivacy true # Oyuncuların IP adreslerini diğer istemcilerden gizler

Sıkça Sorulan Sorular (SSS)

Q1: Hileciler yetkim olmadan kendilerine nasıl para veya eşya verebiliyor?

Bu durum genellikle güvensiz yazılmış scriptlerden kaynaklanır. Script istemciden gelen "bana şu kadar para ver" isteğini doğrudan kabul ediyorsa, hileciler bir Lua Executor kullanarak bu event'i sonsuz döngüde çalıştırabilir. Çözüm, tüm para ve eşya işlemlerini sunucu tarafında doğrulamaktır.

Q2: Anti-Cheat yazılımları tek başına yeterli midir?

Hayır. Harici bir anti-cheat yazılımı istemci tarafındaki bilinen hile araçlarını yakalayabilir ancak sunucunuzdaki varsayılan event açıklarını veya bir scriptin içine gizlenmiş backdoor kodlarını kapatamaz. Yazılım güvenliği kod seviyesinde başlamalıdır.

Q3: sv_scriptHookAllowed 0 ayarı ne işe yarar?

Bu ayar 0 olarak ayarlandığında, oyuncuların kendi bilgisayarlarındaki ASI loader ve Lambda Menu, Menyoo gibi istemci tabanlı hile/mod menüleriyle sunucunuza giriş yapmasını engeller.