《反恐精英2》曝漏洞,可在游戏中插入图片、抓取玩家IP地址
2023-12-14 17:54:7 Author: mp.weixin.qq.com(查看原文) 阅读量:3 收藏

近日,世界上最为流行的FPS游戏之一《反恐精英2(Counter-Strike 2)》被爆存在漏洞,引发了游戏社区的关注。该漏洞使得恶意玩家能够在游戏中插入图片,并泄露游戏玩家们的IP地址。
这一问题最初被怀疑是潜在的严重跨站脚本(XSS)漏洞,后来被确认为HTML注入漏洞。该漏洞要从游戏开发商Valve公司的Panorama UI说起。Panorama UI负责《反恐精英2》用户界面的布局和设计,该UI框架与现代网页设计的HTML/CSS/JavaScript相像。
漏洞源于Panorama UI的设计未对输入字段进行充分的消毒,使其可以接受HTML。这种输入通常是应该被禁止的,因为运行不受信任的程序存在安全风险。由于这一漏洞的存在,用户能够注入HTML代码,而这些代码会被输出为HTML而不是纯文本。
攻击者利用这一漏洞,通过在踢人投票面板中插入HTML代码(通常是图像元素<img>),获得了向游戏中添加外部内容(如脚本或图形)的能力。这个问题往轻了说,影响可能仅是在游戏中插入了一些恶搞图片。
但与此同时,还存在着其他危害,例如,恶意用户能够通过<img>元素触发一个远程IP记录脚本。当其他玩家查看投票踢人面板时,他们的IP地址会在不知情的情况下被记录。这些IP地址可能被用于发动分布式拒绝服务(DDoS)攻击,通过向目标网络发送大量流量,破坏网络服务并使玩家断开比赛连接。
据了解,Valve公司已经通过发布一个7MB的更新补丁来解决这一问题,该更新清理了任何HTML输入,并将其转换为纯文本,以防止滥用。

编辑:左右里

资讯来源:waxpeer

转载请注明出处和本文链接

每日涨知识

packet(包) 

通过通信线路作为一个单位传输的一组信息。包含 IP header(IP 头)以及 payload(有效负荷)。



球分享

球点赞

球在看

“阅读原文一起来充电吧!

文章来源: https://mp.weixin.qq.com/s?__biz=MjM5NTc2MDYxMw==&mid=2458531566&idx=2&sn=fdb35609651db2fef2070f7978f8105d&chksm=b18d066486fa8f7288f54c429a93194de3ffdbb037fcf4874b1f7c90f4956ac1fa6f0985d08d&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh