看板 Steam作者 g5637128 (好睏)標題 Fw: [新聞] 駭客找出Steam錢包無限資金漏洞時間 Mon Aug 16 14:46:20 2021
※ [本文轉錄自 C_Chat 看板 #1X6UBY_P ]
看板 C_Chat作者 SuperSg (○(#‵ ︿′ㄨ)○森77)標題 [新聞] 駭客找出Steam錢包無限資金漏洞時間 Mon Aug 16 12:00:31 2021
https://bit.ly/37M013S
駭客找出Steam錢包無限資金漏洞,Valve緊急修復
任何含有線上儲值付款功能的電子平台皆可能有漏洞風險,Steam 也不例外。上週
Hackerone 賞金平台有一位駭客發布了 Steam 的錢包系統存在一個漏洞,令其可在某個
帳號底下無限生成資金,該功能經 Valve 確認後已緊急修正,並支付 7,500 美元的報酬
給該駭客。
根據 Hackerone 報告,代號 Ddrbrix 的駭客在 8 月 9 日私下提醒 Valve 注意錢包系
統漏洞,這個漏洞的原理基本上是攔截任何利用 Smart2Pay 支付方式的交易,修改儲存
資金的金額 —例如 1 美元改成 100 美元— 幾乎是 Steam 平台的偽鈔技術了。
「我認為影響非常明顯,攻擊者可以此來賺錢,破壞 Steam 市場,用以低廉的價格出售
遊戲序號等等,」Ddrbrix 在報告中表示。
之後,Valve 官方人員快速測試該漏洞後緊急修復,並
感謝這位駭客找出致命的漏洞,支
付 7,500 美元作為賞金。
許多遊戲發行商皆有與 Hackerone 的駭客進行合作找出漏洞,例如任天堂、Rockstar
Games 或 Riot Games,而 Riot 還曾為自己旗下的《特戰英豪》反作弊程式「Vanguard
」準備祭出 10 萬美元的賞金給發現漏洞的白帽駭客。
=====
在買遊戲的遊戲中開錢無限,大概是這個意思
--
十部常被人用於學術研究的純愛型作品
https://i.imgur.com/GyOsasd.png 咲子 https://i.imgur.com/fE4hU8y.png 勝子
https://i.imgur.com/e9NJM3c.png 寧寧 https://i.imgur.com/IRpmjZo.png 舞櫻
https://i.imgur.com/PMWbgiI.png 亞愛 https://i.imgur.com/tQUc4MC.png 葵
https://i.imgur.com/130juok.png 美來 https://i.imgur.com/jAyLhqd.png 可南子
https://i.imgur.com/nmVVgPw.png 凜華 https://i.imgur.com/QWDEady.png 步
--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.32.239.143 (臺灣)
※ 文章代碼(AID): #1X6UBY_P (C_Chat)
※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1629086434.A.FD9.html
推 pgame3: Show me the money1F 08/16 12:02
推 ssarc: 還能用就能把steam遊戲買齊破關了7F 08/16 12:07
→ ZunYin: 才給75009F 08/16 12:07
→ alinwang: 真用這個BUG灌錢是犯法且帳號會被封鎖吧.13F 08/16 12:12
→ relax1000: 不能用價值看吧.難道我撿到別人家鑰匙還回去要索取對方50%家產嗎14F 08/16 12:12
推 jupto: 給獎金已經夠給面子了 這種駭客是實打的犯罪 就算靠這方式獲利也會被追討16F 08/16 12:14
→ r85270607: 算其中的一成好了 那麼買遍steam遊戲需要兩百萬台幣嗎19F 08/16 12:15
推 Solonius: 絕對超過200萬台幣...23F 08/16 12:18
推 combokang: 16樓在說什麼...本來就是遊戲公司和平台合作25F 08/16 12:20
推 jupto: 行為上要說他犯罪也沒錯啊 就只是要不要告的問題 真要告絕對可以 只是留他們免費幫公司debug更符合利益罷了26F 08/16 12:21
推 kingroy: 7500真的有點少29F 08/16 12:22
→ combokang: 找到漏洞不代表有進行破壞啊 有漏洞是你的問題31F 08/16 12:23
推 silverair: 笑死 我的程式有漏洞被發現了,我要告死發現的人32F 08/16 12:24
推 Shin722: 至少給10萬美吧?這算很嚴重的欸34F 08/16 12:25
推 dinosd2: 有人是非黑即白的,駭客就是駭客,管你黑帽白帽35F 08/16 12:25
→ jupto: 找到漏洞要完全排除使用過它幾乎不可能吧 行為上要完全不給人能告的空間很難吧36F 08/16 12:25
→ oldk13: 某樓可能沒什麼網路知識,就別跟他計較了38F 08/16 12:26
推 Giornno: 笑爛,我們來解決發現問題的人,是這個意思嗎40F 08/16 12:26
→ dinosd2: 才講沒多久又一位認為所有駭客都是黑的人出現了42F 08/16 12:26
→ Giornno: 那當屁白帽,反正都會被吉44F 08/16 12:27
推 Richun: 你敢告白帽駭客的話 就不會有白帽跟你合作了 剩下黑帽搞你這跟醫生動手術你就一定要告他傷害一樣好笑45F 08/16 12:27
推 Khatru: 好歹給個一萬以上吧甚至給個十萬也不為過47F 08/16 12:28
→ jupto: 我又沒說他是黑的 只是說站在公司的立場可以完全不給錢也不給予任何感謝 白白收下這個資安debug的結果48F 08/16 12:29
→ LipaCat5566: 法律上是不行沒錯 道義上他救了G胖 7500跟v社比起來50F 08/16 12:29
推 whathefuc: 有也不會用 不用花錢的steam還有什麼樂趣?51F 08/16 12:29
推 shinobunodok: 人家特地來通知你哪裡有漏洞 你告他?你是不是覺得多一個來攻擊你的人會比較爽?53F 08/16 12:29
→ r02182828: 我們公司絕對不跟恐怖分 我是說駭客談判55F 08/16 12:30
推 shortoneal: 也是有聽過先把錢幹走,你付錢才還你的啦,但是這種就56F 08/16 12:30
推 dinosd2: 你這種講法就跟你出門時鄰居提醒你門沒鎖,你還靠北鄰居57F 08/16 12:30
→ shortoneal: 很有爭議了,但也是那種公司裝死修掉不給錢的太多58F 08/16 12:30
→ dinosd2: 是不是想進家裡偷錢59F 08/16 12:30
噓 Khatru: 到底在講三小啦,要死是屁都不吭的把漏洞修好,就可看下次人家找到漏洞會不會告訴你61F 08/16 12:32
推 Giornno: 白帽出發點不談啦,哪知道人家原始動機是想挖bug圖利還真的只是想抓蟲?66F 08/16 12:32
推 kerry0496x: 可能有讓駭客選遊全遊戲免費玩 vs 折現,兩種選項?68F 08/16 12:32
→ Giornno: 但他告訴遊戲公司,就該有賞,有沒有用bug圖利,那是另一回事69F 08/16 12:33
→ Giornno: 你這點獎勵都不肯給,還要告他,以後真的沒白帽幫你抓蟲了72F 08/16 12:34
→ shortoneal: 喔喔,你的意思說是挖bug偷用,但是這個行不通
公司一下就發現了,而且這就真的有法律問題了74F 08/16 12:34
→ kerry0496x: steam這種靠網路平台賺錢的,怎麼可能不瞭解白帽駭客文化? 某樓的公司立場,顯然不適用網路平台公司。78F 08/16 12:35
推 neerer: 好像有人以為駭客本身就是違法的存在,笑死80F 08/16 12:36
推 dinosd2: j仁兄要檢討白客駭帽前,請先檢討G胖底下的工程師為何沒81F 08/16 12:36
→ kerry0496x: 你了解的公司文化顯然缺乏與白帽駭客互動這塊82F 08/16 12:36
→ dinosd2: 發現這麼嚴重的Bug,還要業外人士提醒83F 08/16 12:36
推 andy86tw: 7500只是象徵意義而已啦==84F 08/16 12:36
推 edinhon: 笑死 白帽被說成是犯罪 有夠可憐85F 08/16 12:36
推 Khatru: 白帽子打我小學生時就聽過了,不懂得就別出來嘴砲了86F 08/16 12:37
→ spfy: 會用白帽表示本身就已經沒有惡意了...88F 08/16 12:39
推 mikeneko: 這漏洞影響很嚴重,要慶幸沒被公布89F 08/16 12:39
推 dinosd2: 7500美應該是單純發給該位白帽的獎金,G胖公司有在跟該組織合作表示應該本來就有贊助金之類的,可能組織本身也會90F 08/16 12:39
→ jupto: 公司為了長期利益當然給白帽好生養著啊 只是說賞金多寡就公司隨意啊 它沒有義務一定要給白帽任何金錢或福利啊92F 08/16 12:40
推 Rivendare: 駭客不能做慈善喔 = = 會這樣告知本來就沒打算洗錢吧95F 08/16 12:40
→ Khatru: 不要嘴砲啦,乖乖承認不懂有這麼難喔?97F 08/16 12:41
→ dinosd2: 沒有義務?是啊,看看上面那個網址,錢少給了就把自己找到98F 08/16 12:41
→ dinosd2: 的統統公佈在網路上,看你MS有多少人力去搞定那些漏洞100F 08/16 12:41
噓 gyc880323: 樓上一堆鬼島邏輯 : 告幫你找bug bounty 的白帽101F 08/16 12:42
推 CHU094080: 7500只是檯面上的啦 底下流動一般人不會知道102F 08/16 12:42
推 z897899878: 自己養的debug team一個月就不只7500了還不一定抓得到103F 08/16 12:43
推 Steyee: 7500聽起來就像績效那樣的獎金吧,這些白帽應該平常就有固定的薪資了105F 08/16 12:43
推 KJC1004: 還以為是SpiffingBrit108F 08/16 12:47
→ w3160828: 白帽有些是興趣在挖蟲,人家有其他正職109F 08/16 12:47
推 bartender01: 好了啦 犯罪兩個字都打出來就不要再遮了 無知不是問題 不願意承認無知比較可怕110F 08/16 12:48
推 jupto: 反正我主要是要說7500太少這件事 完全沒立場吵 因為公司有給錢就已經是很佛了 它完全沒有付這錢的義務在112F 08/16 12:49
推 dinosd2: 沒人給台階下,當然要繼續嘴硬,還扯到公司幹嘛給錢感謝白帽駭客,搞不清楚狀況的人當然搞不清楚狀況115F 08/16 12:49
推 a0952864901: 題外話 他們這類團體大多會跟公司合作幫忙找漏洞 我之前公司做網路相關產品 去類似機構測過一次 測完真的可以幫你抓一堆軟硬體破解手法出來 費用那時候是付了5萬鎂117F 08/16 12:50
推 z897899878: 被人看沒有而已啦,一個大公司幫他省了多少錢結果才給一點打發,根本不尊重專業還在還很佛www121F 08/16 12:51
→ r02182828: 公司是沒這個義務給錢 不過人家不是你養的也沒欠你 不給就準備花更多擦屁股123F 08/16 12:51
推 theseusship: 人家valve在懸賞網站開懸賞,啊真的有人達成條件了推文又有人在說不用付那筆錢,是不是當懸賞是放屁啊126F 08/16 12:51
推 dinosd2: 因為白帽發現Bug時一定是先聯絡官方,等確定修好後再跟官方共同公佈有關這個Bug的事128F 08/16 12:52
→ w3160828: 7500應該是依照那個蟲的等級去定義的,我們外人可能覺得危險,但是定義的人可能覺得就7500的價值130F 08/16 12:52
→ KJC1004: 公司當然沒必要付錢給白帽啊 但是下次exploit就直接賣給132F 08/16 12:53
→ KJC1004: 競爭對手或是真正的犯罪組織了 自己想想吧 把法律當成一切標準?你知道立法委員是群智障嗎?134F 08/16 12:53
HackerOne
The Valve Bug Bounty Program enlists the help of the hacker community at HackerOne to make Valve more secure. HackerOne is the #1 hacker-powered secur ...
→ lomorobin: 獎金擺在那,你不爽拿可以用這個漏洞轉黑錢啊。138F 08/16 12:53
推 tom282f3: SpiffingBrit XD139F 08/16 12:54
→ theseusship: 人家公司在懸賞網站開的頁面啦,裡面回報的不只一筆,沒義務大師快點來判斷一下這些有沒有義務給錢140F 08/16 12:54
→ jupto: 從新聞來看這案子似乎不是合作 所以才說抓蟲過程也可能有犯罪的可能 而且最主要是他抓到蟲除了告知公司領賞外沒有有其他合法變現的可能142F 08/16 12:55
推 dinosd2: 也有可能這Bug使用難度高的關係,不是隨便一個Steam玩家看懶人包就立刻會用的狀況,所以獎金才會有認知上的落差145F 08/16 12:55
推 z897899878: 怎麼變成犯罪的可能了?不是說是實打的犯罪嗎?147F 08/16 12:56
→ dinosd2: 那j仁兄邏輯蠻悲哀的,把所有人都當做賊去防範,不願相信148F 08/16 12:57
推 hit0123: 看推文就知道台灣為什麼會是鬼島了 先解決敢提出問題的人 難怪三不五十能看到指鹿為馬 國王新衣的事情149F 08/16 12:57
→ dinosd2: 有人是好心主動幫忙,就算是為了除蟲獎金,該人有做了什151F 08/16 12:58
→ dinosd2: 麼其他犯罪的事情嗎?153F 08/16 12:58
推 z897899878: 以valae的規模7500就是在羞辱人啦154F 08/16 12:58
推 hduek153: 公司沒義務付錢 白帽也沒義務主動告知阿156F 08/16 12:59
推 Marginals: 一開始就說白帽這樣是犯罪,後面怎麼扯都是屁了啦,幫人抓蟲還要被當罪犯157F 08/16 12:59
推 tsairay: 白帽也不是只靠賞金為收入,靠名氣拿固定收入也很重要159F 08/16 13:00
→ hduek153: 所以大公司才會懸賞bug鼓勵人家告知160F 08/16 13:00
推 dinosd2: 新聞沒採訪這位白帽,所以無法得知7500到底對他而言是多還少,如果真認為少的話可能早就講話了吧161F 08/16 13:01
→ hduek153: 至於錢的問題真的沒必要討論 人家覺得少可能下次就不幹而已163F 08/16 13:01
→ jupto: 我從頭到尾都在說賞金太少的爭議 抓語病打也很無聊啊 會提犯罪只是在說抓到蟲也沒有其他輕鬆變現的管道 到頭也只能看公司良心給多少就多少165F 08/16 13:02
推 kenny840719: 怎麼會沒變現可能 把方法拿去賣一定會有人出更高價168F 08/16 13:02
→ dinosd2: 另一個可能是人家想要的是名氣而不是錢,畢竟可以找到該170F 08/16 13:02
→ lomorobin: 駭客怎麼懂行情 推文說不夠就不夠 懂171F 08/16 13:02
→ dinosd2: 公司的工程師找不到的Bug,而且公司規模那麼大173F 08/16 13:03
推 z897899878: 少的也不能怎摸樣因為真的不是義務,但丟臉的是valve之後我看願意幫助的白帽都要沒了喔174F 08/16 13:03
推 brian7045: 說7500美元少的,有多少人是真的可以當下拿出7500美元176F 08/16 13:03
推 hanz124: 16樓好了啦,冷靜一下再看自己說的話,不要秀下限178F 08/16 13:04
推 dinosd2: 輕鬆變現的管道?以這種程度的工程師,你真認為找不到地方賣情報嗎?不要在那邊把臉伸出來給人打好嗎179F 08/16 13:05
推 z897899878: 7500有很多嗎?你要不要看一下美國那邊的工資開多少?181F 08/16 13:06
推 jupto: 拿去賣就真犯罪啦 我原本想表達是要拿這bug變現就一定會犯罪 所以他根本沒有除了回報公司以外的選擇182F 08/16 13:07
推 dinosd2: 你這個又講錯了,誰說賣情報就一定是犯罪?184F 08/16 13:09
推 a0952864901: 不知道變現不變現有什麼好吵的 人家搞不好根本不在意這些錢 旁邊喊什麼燒啊185F 08/16 13:11
推 baia8053: 16f就台灣老闆的思維吧
你發現我網頁的bug 我要告死你^^189F 08/16 13:17
推 babyIam: 某推文真的讓人開眼界191F 08/16 13:17
推 adgbw8728: 我看到機車鑰匙沒拔 幫他拿下來放到前面置物櫃 請問我犯罪了嗎192F 08/16 13:17
→ SuperSg: 看到朋友沒在七夕陪他女朋友所以我幫忙陪,請問有犯法嗎194F 08/16 13:19
推 gab7912: 幹嘛跟那個id認真 只會一直跳而已195F 08/16 13:19
推 z897899878: 樓上比喻錯誤喔,白帽只有告知車主沒有動手拔鑰匙喔196F 08/16 13:20
→ oldk13: 凹成這樣還不如不要回冷處理,回推回到這麼沒下限,是不是不知道什麼叫丟人現眼?197F 08/16 13:20
推 LuMya: 有夠寒酸 7500199F 08/16 13:21
推 borhaur: 最一開始不就一口咬定是犯罪嗎200F 08/16 13:22
推 tripleleft: 犯罪ww16摟先去查查白帽駭客是什麼好嗎201F 08/16 13:25
推 xkiller1900: 10萬美我都不覺得多...
7500是打發叫化子?202F 08/16 13:25
推 fairymomo: 跳針無敵 別人說一句拿十句抵 我以為來到八ㄍ..咦?204F 08/16 13:26
推 bitcch: 一般漏洞獎金會根據攻擊手法以及危害程度來決定205F 08/16 13:26
推 yoyo178134: 說真的少的大概是半懂吧
黑客沒有立場去跟公司要更多
公司願意給他ok就結案了
要更多等等被起訴 再公布漏洞不是雙輸嗎
黑客都有自己底線在206F 08/16 13:28
→ xkiller1900: 他給多少當然都沒錯,我只覺得你那麼大公司讓人看低213F 08/16 13:33
推 protess: 奇怪,拿錢的都沒說什麼了,旁邊在喊很少是怎樣215F 08/16 13:35
推 tkc7: 好歹加個0217F 08/16 13:41
推 DMGA: 16樓笑死,還 實打 勒218F 08/16 13:41
推 abd86731: 給的少就是提高下次駭客利用漏洞搞你的機會啊 看公司要怎麼衡量囉219F 08/16 13:43
推 Mjun: 笑死被打臉還一直跳針 哭哭哦 哈哈222F 08/16 13:45
推 splitline: 要更多錢不會被起訴好ㄇ,這種本來就類似僱傭關係(類似冒險者接案XD),要求加點薪是ok的224F 08/16 13:46
推 holycity: 某樓秀下限 這就像是張貼尋狗啟示 別人幫你找到狗然後還說沒必要給對方回報 有夠好笑227F 08/16 13:48
推 ruby080808: 因為真的蠻少的,這個損失上限很高,fb之前斗內漏洞給229F 08/16 13:48
→ yyc1217: 有時候追求的不是金錢 而是我先發現230F 08/16 13:49
→ ruby080808: 1萬美,特斯拉1元換400萬汽車給4萬美
樓上講的那個最近就有實例了,有個盜了價值6.1億美元231F 08/16 13:50
推 hw1: 我也覺得7500有點少 不過可能也是V社他們對自己bug的嚴重程度去決定賞金的233F 08/16 13:51
→ ruby080808: 的加密貨幣他全還,官方給50萬美元賞金他不要235F 08/16 13:51
推 s8018572: fb跟特斯拉的規模都不知道比valve大幾倍== valve公司沒有上市 員工大概也才三百多人236F 08/16 13:52
推 angel0328: 不給的話下次找到的漏洞搞不好更嚴重 給了還能刷一波238F 08/16 13:53
推 i2285: 不能刪留言的好處就是可以看到有人一直跳針xD239F 08/16 13:56
→ linzero: 駭客對金額表示過意見嗎?240F 08/16 13:58
推 ArcueidY: 台灣公司,你居然發現有漏洞,不管真的假的先把你告上法院。242F 08/16 14:03
→ bhshin: 總是有不懂裝懂的拉不下臉248F 08/16 14:10
推 hooll111: 檯面上白帽 檯面下黑帽:)249F 08/16 14:11
推 holysea: 白帽子就是賺心安理得的賞金,不是所有人會去違法250F 08/16 14:14
→ gn02297273: 跳針笑死XD你乾脆說臥底警察也要照組織犯罪條例抓去關好了。251F 08/16 14:20
噓 enemyli: 就寫合作的賞金平台了還在耍什麼白癡 去讀書啦255F 08/16 14:23
推 pionlang5566: 覺得多一個零價位才差不多
這種漏洞很重要 但駭客找漏洞的工作不是天天有
價格太低是叫駭客沒工作時要吃自己?256F 08/16 14:24
HackerOne
I have found vulnerability which allows attacker to generate steam wallet balance.
Firstly you will have to change yours steam account email to someth ...
→ su4vu6: 還好他沒直接買那個 全遊戲整合包262F 08/16 14:37
→ soccer103: 攔截 request 修改儲存金額就行?
涉及金流後端還沒驗金額確認喔
這 bug 有點誇張263F 08/16 14:42
※ 發信站: 批踢踢實業坊(ptt.cc)
※ 轉錄者: g5637128 (1.161.98.125 臺灣), 08/16/2021 14:46:20
推 suichui: 可以把所有遊戲+DLC全部包了,能課金的全部課爆1F 08/16 14:56
推 chaoliu: Riot果然是佛心公司所有獎金都20000起跳2F 08/16 15:11
推 cheeseup: 沒想到還有如此貼近現實的show me the money3F 08/16 15:15
噓 Sunerk: 你沒說他黑的 都說犯罪了 ? 腦子不好使是吧4F 08/16 15:16
推 abraxas: 發現不懂就閉上嘴,一直扯有夠難看= =5F 08/16 15:26
推 cattgirl: 發獎金不錯了 蘋果公司直接報警7F 08/16 16:16
推 cheeseup: 轉過來的文章,推文已經有一堆狀況外的結果這邊還是有8F 08/16 16:19
推 pokiman: 這麼大的漏洞給個十萬也是應該的9F 08/16 16:33
→ dxzy: 七千五有點少了 還有樓主牛頭人
那些狀況外的人是本來邏輯就不同常人 不要太意外10F 08/16 16:35
推 zxc2331189: 這麼嚴重的漏洞7500鎂喔 這隨便開個代購賺都超過吧12F 08/16 16:42
推 qwe88016: 稱不上太大漏洞吧,這種後續補救蠻簡單的,就通通鎖帳實體商店的話才比較需要擔心這種事15F 08/16 17:06
噓 MotoDawn: 公道價就是7500啊 484很多人還是看不懂17F 08/16 17:17
推 israelii: 白帽駭客跟各大資安公司都有在合作
已經算是一門高專業性的職業了 結果被鄉民講成這樣 笑死18F 08/16 17:25
推 fishxd1096: 給獎金就是對雙方都好的結果,金額夠多使駭客認為私下利用漏洞不划算21F 08/16 17:29
推 aa1477888: 至少Valve肯給 之前Google說好要給還不給24F 08/16 18:08
推 jim8596: 想說推文怎麼那麼沒水準 原來是西洽轉來的25F 08/16 18:18
推 bu17: Show me the money G胖版26F 08/16 18:19
→ r85270607: 如果以 一成來說 7500美的比例是差不多了28F 08/16 18:45
→ dxzy: 7500當然不是知道行情 而是覺得自己如果這麼厲害希望能更多看到這篇最大的用途就是多整理了幾本牛頭人 就這樣29F 08/16 18:58
推 r85270607: 主要討論點是 這並非對價關係啊
我後來有在後面提到了 酬謝並非有實質對價
未發生行為不能做為對價根據
路邊撿到200萬 不能因為
「你如果後謝要給我更多 連200萬都拿回來」
我們並不知道兩造間是怎麼決定的
太高 或是 太低 在沒有對價關係的前提下
真的只是各人喊各人爽的31F 08/16 19:02
→ r85270607: 拼音輸入 牛(N)頭(T)人(R) 等等警察就要來了41F 08/16 19:14
推 marc47: 佛心公司,反觀42F 08/16 20:08
推 butten986: 這漏洞當初要是賣到黑市,我看不只7500鎂43F 08/16 20:31
→ shcjosh: 懸賞漏洞明標價碼不是很正常嗎46F 08/16 21:29
--