网传steam有安全漏洞 玩家电脑可能会被当成矿机-k8凯发天生赢家

根据reddit网友的爆料，安全研究员vasily kravets近日发现了steam的重大安全漏洞。据悉，一些不法分子甚至可以利用该漏洞将玩家的pc变成矿机。消息一出，立即引发了很多网友的关注。据悉，此次steam出现的安全漏洞并不复杂：steam出于某些内部目的（考虑），便在玩家的电脑中安装了“steam client service（steam客户端服务）”。

这意味着“用户”组的任何一位用户都可以启动或停止服务。

这是什么意思呢？

当steam客户端运行时，将自动为一系列注册表项目的相关权限提供许可，如果一些别有用心的人利用特殊手段（符号链接），将这些权限授予另外一种服务，那么任意一位用户都可以启动和停止这项服务。这意味着，如果用户在电脑上安装了steam，就能使用最高权限运行任何程序。

危害有多大？

根据安全研究员vasily kravets所言，这种问题的危险性在于：steam此次安装的客户端服务（实际上是为了在用户电脑上运行第三方程序而设计的），将允许一些启动程序获得用户电脑的最高权限。玩家们或许都看到过steam上的一些免费游戏（当然，有不少很垃圾），但是没有人能够保证：这些开发者不会通过漏洞让玩家的电脑为挖矿服务。此外，由于这些程序拥有了最高权限，一些潜在的危险还会越过管理员权限，造成更大损害，例如：禁用杀毒软件、隐藏和更改用户电脑的任何文件，甚至还可以窃取个人隐私。

早在6月15日，安全研究员vasily kravets通过hackerone向valve报告了这个漏洞，但是到了6月16日，hackerone的员工却表示“不适用”，给出了一定的原因。经过讨论，7月20日，hackerone工作人员再次将此次报告标记为“不适用”。到了8月7日，也就是安全研究员vasily kravets初次提交报告后的第45天，他不得不将这项漏洞公之于众，同时希望steam开发人员及时修复。

vasily kravets表示：“我并不是第一个发现漏洞的人，但却是第一个进行分析的人。v社的态度令我感到惊讶，也让我感到失望。我从来没想过，一家严谨的大公司居然对这样的漏洞给出了难以预料的回复。我表示难以理解，也很难接受这家公司的做法。我不建议玩家们删除steam，但是希望大家在使用的时候能多加注意。”

然而，这件事情其实还没完。

7月20日，当vasily kravets的漏洞报告被拒绝后，他曾经通知相关人员（hackerone员工），将在7月30日之后公布漏洞信息；

8月2日，一位hackerone员工禁止vasily kravets透露更多细节；

8月6日，steam进行了更新，但是并没有修复相关的漏洞；

值得一提的是，此前曾有独立游戏《abstractism》疑似捆绑用户“挖矿” 被steam强制下架。至于v社何时解决漏洞并做出进一步回应，还请关注k8凯发天生赢家的后续报道。