分享至
（原标题：安全研究人员发现Steam游戏商城存在发行审核漏洞）
摘要：安全研究人员发现了Steam Store的游戏上传机制的漏洞，利用该漏洞任何人都能绕过Steam Store的审核过程直接发布应用或游戏，或可能被黑客利用传播恶意程序。这位安全人员已经利用该缺陷发布了一则虚假游戏，目前该问题已被Valve的 Steam团队修复，而利用该漏洞的前提之一也必须使用Steamworks开发者账号。网名为rubiimeow的安全研究人员实际上发现了两个关于Steam的安全问题，首先他在网页的申请新Steam 集换式卡牌表单的源码中发现了一个漏洞，表单中包含着部分安全性评估代码，有经验的黑客能够找到并修改Session ID值，将值更改为1就能够显示一份只对Valve内部员工开放的表单。通过表单，这位工作人员看到了只有Steam审核人员才能看到的内容，然后他发现这样他就可以伪造成已被Steam审核通过的文件，他猜想这种绕过Steam审核的机制或许能够用于直接在Steam上发布一些游戏。
他随后在游戏审核机制中也发现了类似的漏洞，他顺利地申请了一份虚假游戏并通过了初步审核，然后将游戏文件上传至Steam，游戏的最终发行审核需要通过AJAX请求发送给Valve服务器，同样包含他之前在申请集换式卡牌时发现的网页表单漏洞，而这位安全研究人员直接手动向服务器添加了一份建立游戏ID和Session ID的请求，并随后向服务器发送游戏已被审核通过的，他的实验非常成功，成功地绕过了Valve员工审核发布了一份虚假游戏。
本文来源：cnbeta网站
责任编辑：
王晓易_NE0011
