[xkalibobxstejkx]

Siemano, kumpel stracił cały ekwipunek w CSie, mimo włączonego 2FA i Steam Guarda ktoś bez jakiegokolwiek powiadomienia wszedł na konto i zrobił ofertę wymiany (konto już oczywiście usunięte) tak że dopiero podczas gry skapliśmy się że coś jest nie tak. Miał ktoś podobną sytuacje? W jaki sposób jest to w ogóle możliwe?
#steam #csgo #cs2

[sk911]

@xkalibobxstejkx: api scam, kolega musiał się na jakiejś stronie lewej zalogować, jeżeli ktoś ma jego klucz to może sobie robić wszystko.
Usunąc klucz api i zmienić hasło.
pilnować się następnym razem ;)
dużo poszło?

[xkalibobxstejkx]

@sk911: około 5 stów, widocznie gościu musiał wyczekać (serious business xdd) bo w ostatnim czasie nie logował się nigdzie podobno, na mailu jest tylko informacja o logowaniu z innego miasta, no nic ja już ekwipunek nawet ukryłem żeby nikogo czasem nie kusiło xD

[LITWIN]

@sk911: Na pewno? Bo w dokumentacji klucza API nie ma żadnego słowa o możliwości wymiany - klucz API służy do POBIERANIA DANYCH o użytkowniku i jego koncie.

Gdzie ty wyczytałaś, że za pomocą klucza API można kontem zarządzać?

[Refusek]

https://developer.valvesoftware.com/wiki/Steam_Web_API/IEconService

@LITWIN:

[LITWIN]

@Refusek: ale gdzie tam jest usługa WYSTAWIENIA oferty bo ja tam widzę jedynie POBRANIE STATUSU danej oferty handlowej.
Gdzie tam widzisz UTWORZENIE oferty? Jedyne co możesz to anulować/odrzucić.

Którą metodą można według ciebie UTWORZYĆ nową ofertę handlową?

[Refusek]

@LITWIN:

https://stackoverflow.com/questions/45029182/how-use-steam-api-send-tradeoffer Tu jest przykład jak można to zrobić, mimo że nie jest to oficjalnie wspierane przez api.

[LITWIN]

@Refusek: Ale czytałeś to przed wklejeniem?

Musisz wysłać POST-a o wskazanym nagłówku, dysponując ZALOGOWANĄ SESJĄ - czyli znać zmienną SESSIONID - czego nie uzyskasz z klucza API. Zmienna sesji nie jest w nim przekazywana.
To wszystko siedzi w ciasteczku (czyli np. w zalogowanej przeglądarce - dlatego też Steam cię pamięta po jej zamknięciu i ponownym jej otwarciu i nie musisz się na powrót logować - zresztą to działa identycznie jak

[LITWIN]

@Refusek Dlatego nie logujemy się NIGDY do żadnego innego serwisu (prócz samej głównej strony Steam) w przeglądarce na swoje dane logowania do konta - a używamy potwierdzenia swojej tożsamości OpenID (autentykacja vs autoryzacja).

Jeśli jesteś zalogowany w przeglądarce do głównej strony Steam a jakikolwiek serwis prosi cię o dane dostępowe do konta - to należy mu pokazać środkowy palec i się wycofać i w żadnym wypadku się tam nie logować bo

[quercy]

@sk911: @LITWIN @Refusek @xkalibobxstejkx
Api Scam polega na tym, że przy ofercie wymiany (np chcesz sprzedać skiny na dmarket), bot podmienia ofertę wymiany na drugą - z innym kontem - z takim samym nickiem, avatarem, itd. I sam akceptujesz wymianę z oszustem, a nie, że nagle ktoś sobie sam tworzy ofertę wymiany z Twojego konta i sam ją akceptuje.
Fajny alert (właśnie dzięki któremu się dowiedziałem o