Steam账号信息存储位置解析

Question

在进行Steam客户端本地数据存储分析时，常见的技术问题是：Steam账号信息在本地是如何加密存储的？具体存储路径位于系统的哪个目录下？其加密机制采用了何种算法（如AES、RSA等），是否与系统用户SID或硬件信息绑定？如何通过逆向分析或API监控手段定位账号凭证的存储位置？此外，Steam Guard等安全机制对账号信息的本地缓存有哪些影响？这些问题对于理解Steam客户端的安全机制、开发相关辅助工具或进行数字取证具有重要意义。

Answer 1

1. Steam客户端本地数据存储概述

在进行Steam客户端的本地数据存储分析时，首先需要理解其数据结构与加密机制。Steam客户端为了保护用户账号信息，采用多种加密技术，并将关键数据存储于特定系统路径下。以下内容将从存储路径、加密算法、绑定机制、逆向分析方法以及安全机制影响等多个角度进行深入分析。

2. Steam账号信息的本地存储路径

Steam客户端在Windows系统中默认将用户账号信息存储于以下路径：

• C:\Program Files (x86)\Steam\config\
• C:\Program Files (x86)\Steam\userdata\<用户ID>\config\

其中，loginusers.vdf文件记录了多个账号的登录信息（包括用户名、登录状态等），而具体的加密凭证可能存储于localconfig.vdf或ssfn文件中。

3. 加密机制与算法分析

Steam账号信息的本地加密主要采用对称加密算法，例如AES（Advanced Encryption Standard），并结合硬件指纹与系统SID进行绑定。以下是常见的加密组件与机制：

加密文件	加密算法	绑定信息	用途
ssfn*	AES-128-CBC	系统SID + 硬盘序列号	用于Steam Guard登录认证
localconfig.vdf	自定义加密协议	用户登录Key	本地配置与缓存数据

4. 逆向分析与API监控手段

为了定位Steam账号凭证的存储位置，可以采用如下技术手段：

1. 使用Process Monitor（ProcMon）监控文件访问行为：通过过滤Steam.exe进程，可以观察其访问的配置文件路径。
2. 利用IDA Pro或Ghidra进行反汇编分析：分析Steam客户端的二进制代码，定位加密函数调用逻辑。
3. Hook关键API函数：例如CryptDecrypt、RegOpenKeyEx等，追踪加密数据的解密过程。

以下是一个使用Python的frida库Hook加密函数的示例代码：

    import frida
    import sys

    jscode = """
    Interceptor.attach(Module.findExportByName("advapi32.dll", "CryptDecrypt"), {
        onEnter: function(args) {
            console.log("CryptDecrypt called");
        }
    });
    """

    process = frida.attach("Steam.exe")
    script = process.create_script(jscode)
    script.load()
    sys.stdin.read()
    

5. Steam Guard机制对本地缓存的影响

Steam Guard作为双重认证机制，其对本地缓存的影响主要体现在以下方面：

• 生成并绑定ssfn文件至特定设备，防止跨设备登录。
• 在本地缓存中存储加密的“登录令牌”，而非明文密码。
• 当检测到设备变更时，强制用户进行二次身份验证。

其机制流程如下图所示：

graph TD
            A[用户登录] --> B{是否启用Steam Guard?}
            B -->|是| C[生成ssfn文件]
            B -->|否| D[仅缓存加密token]
            C --> E[绑定系统SID与硬件信息]
            D --> F[下次自动登录]