Наконец-то дошли руки до личного блога

Я - @Ramzan, владелец канала Полезные боты, один из первых разработчиков ботов в Telegram, пишу их с момента запуска Telegram Bot API, с середины 2015 года и по сей день.

Запустил десятки полезных ботов и собрал в них более миллиона пользователей — без единой рекламы.

Разрабатываю свой конструктор ботов: @gobot

Иногда превращаюсь в белого хакера, участвую в разных Bug Bounty, ищу уязвимости и получаю вознаграждения. Немного hacktivity в моем профиле на HackerOne.

В этом канале буду писать о найденных мной уязвимостях, как я их находил и что с ними делал, а также, возможно, буду писать о том, как вам тоже искать их и зарабатывать на этом 🤫

В моем конструкторе @gobot уже можно запускать полноценные боты для обратной связи.

Все безопасно, сообщения нигде не хранятся, а просто пересылаются между пользователями и админом бота.

Никакой рекламы, ни в конструкторе, ни в вашем боте.

Ограничение в 1 000 000

Мало кто знает, но у Telegram есть небольшой секретик — он пока не умеет хранить больше 1 млн сообщений в личных чатах на одном аккаунте, постов на канале или сообщений в группе.

Как только количество сообщений достигает 1000000 — старые сообщения просто удаляются, т.е. каждое новое сообщение сверх миллиона = минус одно старое сообщение.

А не поэтому ли @durov отключил комментарии к постам на своём канале? 🤔

Сбербанк Онлайн на iOS

Сбер выпустил в App Store копию оригинального приложения для iOS.

Можно скачать по ссылке:

https://apps.apple.com/ru/app/сбол/id1631810724

Охота на юзернеймы

Телеграм начал настоящую охоту за юзернеймами, за последние дни уже успели отобрать более 8000 юзернеймов.

Вслед за этим, Дуров анонсировал запуск маркетплейса для продажи юзернеймов.

Когда-то хотел запустить свой мини-аукцион, даже занимал подходящий ник для этого @auction, да и продавать было много чего в то время. Но телеграм разрушил мои планы, отобрав у меня почти все топовые юзернеймы.

Хорошо, что хотя бы @money успел вовремя продать :)

В поисках багов

Сегодня на досуге решил немного заняться поиском уязвимостей, в качестве жертвы выбрал социальную сеть для работы и бизнеса — TenChat (русский LinkedIn), которая в последнее время активно рекламируется на просторах рунета и имеет уже порядка 1.6 млн пользователей.

Немного ранее находил там баг, позволявший выявить номер телефона, на который зарегистрирован аккаунт любого пользователя. За баг ничего не заплатили, но аккуратно исправили.

Сегодня нашел еще пару некритичных багов и одну довольно интересную уязвимость — XSS (межсайтовый скриптинг). На первый взгляд казалось, что присутствует хорошая защита и скрипт не хотел выполняться, но после некоторых махинаций все же получилось обойти защиту.

Результат: https://tenchat.ru/post/649208

Пишу бота для дистанционного управления Tesla прямо через Telegram. Скоро закину видео с демонстрацией работы бота :)

Как тебе такое, Илон Маск?

Наблюдаю за тем, как эффективно разлетелось видео по десяткам крупнейших телеграм каналов, что было крайне неожиданно для меня.

Собрал небольшой список:

• Код Дурова
• Илон Маск | Elon Musk
• НЕ МОРГЕНШТЕРН
• Эксплойт
• Рифмы и Панчи
• Трансформатор
• Креатив со звездочкой

В общем насчитал более 50 каналов.

⚡️ Выпускаю бота для всех!

Теперь любой владелец Tesla может за 30 секунд подключить свою машину и управлять дистанционно прямо через Телеграм.

Бот: @GoTeslaBot

Решил продлить подписку через @PremiumBot и заодно проверить, каким образом проходит там оплата.

Платежи обрабатываются через smart-glocal.com, который принадлежит знакомому Дурова.

Но сервис какой-то странный, при формировании ссылки на оплату, когда отсутствует один параметр — происходит циклическое перенаправление.

Там же присутствует и баг Open Redirect, но думаю, что найду и что-то поинтереснее.

Ну и сгенерировал правильную ссылку, которая ведет куда надо:

https://tgpb.smart-glocal.com/redirect/form?u=Ly90Lm1lL3JhbWNvZGU=

На аукционе был продан первый юзернейм — за 900 000 TON.

Столько заплатили за @auto

87 миллионов рублей — по текущему курсу..