安全人士发现 Steam“改余额”漏洞，官方迅速修复并感谢

显示全部楼层 · 发表于 2021-8-16 21:42:27

IT之家 8 月 16 日消息　网络安全研究人员＠drbrix 发现了一个 Steam 的钱包余额的 bug，随后将其反馈给 Valve。后者在＠drbrix 的帮助下成功修复了这一 Steam 的充值漏洞问题。

IT之家了解到，如果你的帐户（电子邮件）包含“amount100”，然后通过任意方法拦截发送给 Smart2Pay API 的数据，就可以任意修改你 Steam 钱包里的余额，无论是 100 美元还是 1 美元。

在 @drbrix 发现漏洞后，Valve 官方将该漏洞危险等级标识为“严重”并迅速修复。作为答谢，V 社向他奖励了 7500 美元的感谢金。

他表示：" 我认为（这个 bug）影响非常明显，黑客可以以此赚钱并破坏正常市场规律，甚至以低廉的价格出售游戏兑换码等。

据悉，HackerOne 是一家专门收集网络 Bug 并向上报 Bug 的黑客支付赏金的网站，总部位于旧金山，到去年 9 月他们支付的总赏金金额已超过 1 亿美元。

Valve 则表示 " 多亏了这种人，我们才能够与支付机构一起解决问题，从而避免为客户造成损失。但双方都没有说明此前是否有人真正利用率这一漏洞。

https://www.ithome.com/0/569/591.htm

显示全部楼层 · 发表于 2021-8-16 22:06:45

我想，他要是把这个漏洞卖给黑客，肯定不止7500美元吧？

显示全部楼层 · 发表于 2021-8-17 09:48:01

这位drbrix 才是真正的黑客，早期真正的黑客都是如此：发现漏洞后公开或上报相关公司

像勒索信的不配叫黑客，只能叫骇客

[ＩＴ业界] 安全人士发现 Steam“改余额”漏洞，官方迅速修复并感谢

评分