神刀安全网

安全研究人员发现Steam游戏商城存在发行审核漏洞

安全研究人员发现了Steam Store的游戏上传机制的漏洞,利用该漏洞任何人都能绕过Steam Store的审核过程直接发布应用或游戏,或可能被黑客利用传播恶意程序。这位安全人员已经利用该缺陷发布了一则虚假游戏,目前该问题已被Valve的 Steam团队修复,而利用该漏洞的前提之一也必须使用Steamworks开发者账号。

安全研究人员发现Steam游戏商城存在发行审核漏洞

网名为rubiimeow的安全研究人员实际上发现了两个关于Steam的安全问题,首先他在网页的申请新Steam 集换式卡牌表单的源码中发现了一个漏洞,表单中包含着部分安全性评估代码,有经验的黑客能够找到并修改Session ID值,将值更改为1就能够显示一份只对Valve内部员工开放的表单。通过表单,这位工作人员看到了只有Steam审核人员才能看到的内容,然后他发现这样他就可以伪造成已被Steam审核通过的文件,他猜想这种绕过Steam审核的机制或许能够用于直接在Steam上发布一些游戏。

他随后在游戏审核机制中也发现了类似的漏洞,他顺利地申请了一份虚假游戏并通过了初步审核,然后将游戏文件上传至Steam,游戏的最终发行审核需要通过AJAX请求发送给Valve 服务器 ,同样包含他之前在申请集换式卡牌时发现的网页表单漏洞,而这位安全研究人员直接手动向服务器添加了一份建立游戏ID和Session ID的请求,并随后向服务器发送游戏已被审核通过的,他的实验非常成功,成功地绕过了Valve员工审核发布了一份虚假游戏。

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 安全研究人员发现Steam游戏商城存在发行审核漏洞

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址
分享按钮