赏金黑客 Artem Moskowsky 成功诱骗 Steam 的客户在某些情况下免费向他提供一堆游戏。确实很诱人，但向 Valve 报告这个 bug 让他从 Gabe 叔叔那里得到了一张 20,000 美元的丰厚支票。
莫斯科斯基所做的就是欺骗该服务作为经过身份验证的用户，为他提供他想要的任何游戏的所有先前生成的密钥。错误报告指出，他这样做是“使用partner.steamgames.com上的/partnercdkeys/assignkeys/端点和特定参数”。
莫斯科夫斯基声称这就像进行一次调整一样简单。 “我只通过更改一个参数就成功绕过了游戏所有权的验证。之后，我可以在另一个参数中输入任何 ID 并获取任意一组密钥”，他说。
奇怪的是，他尝试用随机游戏测试漏洞，结果输出了《传送门 2》，或者更准确地说，输出了 36,000 个 Valve 游戏的副本。鉴于 Portal 2 仍然相当便宜，在 Steam 上售价 10 美元，这仍然是一笔巨大的财务投入，这对于一些更昂贵的游戏来说可能是灾难性的。
值得庆幸的是，Valve 声称使用这种方法不会绕过 Steam 的审核日志，因此没有理由担心。他们的调查显示该错误以前没有被利用过，所以是的，没有人窃取那些你无论如何也不会玩的游戏。
HackerOne 上的错误报告将问题的严重性描述为“严重 9-10”，最终为 Moskowsky 赢得了 15,000 美元的赏金，此外还有 5,000 美元的奖金。请注意，此人是一位熟练的 bug 猎人，拥有与 Valve 长期合作的记录。嗯，反对 Valve。是的，你知道我的意思。
不管怎样，四个月前他在 Steam 上的一次漏洞为他赢得了 25,000 美元，而且他在该平台上的历史记录还包括另一堆较小的错误报告。 Moskowsky 在接受 The Register 采访时表示，他从上学时就开始进行安全研究，最终将其作为职业选择。
阀门
您可以在此处找到有关 Steam 漏洞 bug 的完整报告以及 Moskowsky 接受 The Register 的采访。
