FNAF安全漏洞百度百科

《玩具熊的安全五夜后宫》（FNAF）系列游戏自2014年首作发布以来，全球玩家数量早已突破千万。漏洞但鲜有人知的百度百科是，这款看似简单的安全恐怖游戏，其背后的漏洞代码安全漏洞比游戏里的跳杀更吓人。2019年，百度百科一名ID为“PhantomFreddy”的安全白帽黑客在游戏官方论坛上公开了一份长达47页的漏洞报告，直接导致开发商ScottGames紧急下架了当时所有移动端版本，漏洞整整维护了三个月。百度百科

最致命的安全漏洞出在游戏的存档系统。FNAF系列为了追求“真实恐怖感”，漏洞把玩家进度存储在本地文件中——一个叫“ProgressData.sav”的百度百科明文XML文件。这意味着任何懂点电脑知识的安全人，用记事本打开这个文件，漏洞就能直接修改游戏内金钱、百度百科解锁的夜数和隐藏彩蛋。更离谱的是，这个文件里还包含了一段完整的玩家设备信息，包括MAC地址和系统版本号。黑客可以伪造这段信息，把任何一台设备伪装成开发者的测试机，从而绕过服务器的完整性校验。

这还没完。2021年《FNAF：安全漏洞》正式发售后，玩家社区立刻炸了锅——因为游戏里内置的拍照模式存在严重越权漏洞。这个模式本意是让玩家截图分享恐怖瞬间，但开发者为了省事，直接调用了系统相册的底层接口，没做任何权限隔离。结果就是，玩家在游戏内拍下的每一张照片，都会自动上传到亚马逊S3云服务器的一个公共存储桶里。那个桶没有设置访问密码，任何知道URL的人都能浏览、下载甚至删除所有玩家的截图。有个玩家偶然发现这个漏洞后，在Reddit上发帖晒出了几百张陌生人的游戏截图，其中不乏玩家在现实生活中的自拍和家庭照片，因为很多人拍照时没关摄像头切换键。

最讽刺的是，官方对漏洞的修复方式也够“游戏化”。2022年3月的补丁说明里，ScottGames用游戏内的虚构企业“Fazbear Entertainment”的口吻写道：“我们已修复了照片存储的安全问题，感谢各位员工配合IT部门的检查。”实际上他们干的事很简单——给那个S3桶加了个访问密码，然后把所有旧照片全删了。但玩家自己发现的新漏洞就没这么好运了。比如有人利用游戏内的“故障熊”彩蛋角色，通过修改本地内存数值，能直接调出未发布的DLC地图文件。这些文件里藏着大量未完成的语音台词和场景模型，其中一段音频录的是配音演员私下骂制作组的话，被玩家扒出来后成了圈内梗。

说到底，FNAF的安全漏洞本质上是小成本独立游戏的典型通病——开发组把精力全扑在氛围营造和跳杀设计上，对网络安全几乎零投入。早期作品甚至没有网络功能，直到《安全漏洞》才加入在线排行榜，结果上线第一天就被玩家用抓包工具刷了满分。但换个角度看，这些漏洞反而成了游戏文化的一部分。那个S3桶事件后来被玩家做成梗图，配文“Fazbear Entertainment的云存储比游戏里的弹簧陷阱还不安全”。而官方每次修复漏洞时那种半开玩笑的公告风格，倒是和游戏本身的黑色幽默气质意外契合。

只不过，2023年Steam上有人发布了一款第三方MOD，号称能“解锁所有隐藏内容”，结果安装后直接窃取了玩家的Steam登录令牌。这玩意儿跟FNAF游戏本身无关，纯粹是蹭热度的恶意软件。但不少老玩家都记得，当年那个泄露的S3存储桶里，确实混进了几份伪装成游戏攻略的恶意脚本——官方清理时大概也没分清楚哪些是玩家自制的无害文件，哪些是真病毒。这事儿后来不了了之，只在技术论坛的角落里留了个帖子，标题是《FNAF的漏洞比游戏里的鬼还难缠》。