Ютубер Xeno – автор кастомки Dota 1×6 – рассказал, что его пользовательская игра подвергается хакерским атакам.

Он заявляет, что злоумышленники используют неработающую функцию Valve для отправки поддельных запросов в его базу данных. Благодаря этому они могут делать абсолютно любые вещи со статистикой игроков:

• Сбросить рейтинг всех игроков до 0
• Присвоить любой рейтинг или любую историю матчей любому аккаунту
• Взломать внутриигровой магазин. Получить любое количество внутриигровой валюты или сбросить валюту любого игрока 

Xeno также уточнил, какой именно функцией пользуются хакеры.

«Хакеры делают это с помощью функции GetDedicatedServerKeyV2, которая позволяет вашей пользовательской игре иметь уникальный код, соединяющий игру и мои выделенные серверы (где сохраняется вся информация об игроках). Эта функция создает «пароль», который сообщает выделенным серверам: «Да, это правильная игра, вы можете сохранять информацию из нее».

Проблема в том, что алгоритм, по которому работает эта функция, был раскрыт третьим лицам. Теперь любой хакер может получить «пароль» любой пользовательской игры, чтобы отправить информацию на ее серверы», – заявил ютубер.

Xeno сообщил, что ошибку подтвердили и создатели Ability Arena. Также он рассказал, что, помимо функции с ключами, хакеры используют очень старую ошибку Valve, которая позволяет создавать лобби с любым количеством игроков. Например, игра рассчитана на 6 игроков, а хакеры создают лобби на 16. 

Пользователям, которым не хватило места, выдают бан. Ютубер говорит, что такое часто случалось в Custom Hero Chaos.

Xeno видит несколько путей решения данных проблем и просит Valve озаботится этим вопросом.

«Нам нужен какой-то ключ, который сможет увидеть только пользовательский игровой Dev. Например, он будет находиться на странице Steam Workshop игры, и только разработчики смогут его увидеть.

Другое решение – сделать API request_match_details для пользовательских игр (как для матчей Dota 2). Эта функция будет определять пользовательскую игру, из которой отправлен запрос. Таким образом, разработчики смогут ограничить все остальные.

Этот вопрос очень важен для всех разработчиков пользовательских игр. Я надеюсь, что Valve увидит это и поможет нам решить проблему», – подытожил автор Dota 1×6.