河北
你是否曾抱怨游戲里的AI太笨？Steam特別好評(píng)的獨(dú)立游戲《Screeps》給了所有自認(rèn)聰明的玩家一個(gè)“機(jī)會(huì)”：這游戲的單位根本沒有AI，每一行行動(dòng)指令都得你自己用Javascript寫。
這本該是程序員的終極樂園，但最近一則爆料卻讓這款硬核作品變成了木馬的溫床。
在《Screeps》的聯(lián)機(jī)世界中，玩家通過控制臺(tái)查看單位日志。然而開發(fā)者為了省事，竟讓控制臺(tái)直接解析HTML。這意味著，如果你給自己的士兵起名叫，只要對(duì)手在控制臺(tái)查看了你的單位名稱，你的惡意腳本就能瞬間竊取對(duì)方的登錄Token。
更恐怖的是，該游戲的Steam原生客戶端完全沒有沙箱保護(hù)。黑客只需一行代碼：nw.require('child_process').exec('rm -rf /')，就能獲得受害者電腦的最高命令行權(quán)限，直接刪庫跑路。
面對(duì)這種史詩級(jí)安全漏洞，開發(fā)者的反應(yīng)簡(jiǎn)直令人窒息。他們?cè)贕itHub上冷冷地回應(yīng)：“我們不認(rèn)為這是嚴(yán)重的威脅！鄙踔赁q稱，如果玩家因?yàn)檫\(yùn)行了不理解的代碼而被黑，那是玩家自己的錯(cuò)，就像你自己把毒藥吃下去一樣。
直到這則爆料在社交平臺(tái)X上瘋傳，開發(fā)者才在幾小時(shí)內(nèi)火速上線了補(bǔ)丁，卻依然在官推和郵件中堅(jiān)稱“這從來都不是漏洞”，甚至指責(zé)爆料者是在“惡意誹謗”和“騙點(diǎn)擊”。
你是覺得開發(fā)者“真性情、崇尚自由”，還是覺得這種無視用戶安全的行為簡(jiǎn)直就是行業(yè)之恥？評(píng)論區(qū)直接開火，咱們聊聊。
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺(tái)“網(wǎng)易號(hào)”用戶上傳并發(fā)布，本平臺(tái)僅提供信息存儲(chǔ)服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
