👾 Тестил занятную штуку – делал свою модель поведения в виде ИИ. Это не просто «ботик», а что-то похожее на копию меня самого.
Залил туда часть своих текстов, мыслей, куски переписок - и оно реально начало выдавать ответы как будто я сам пишу. Правда, пока не идеально, процентов 20-30 мусора и случайностей, но зато иногда ловлю прикол с этого и думаю, я ли это писал или ИИ.
Сложность в том, чтобы собрать именно мою модель поведения: сленг, структура фраз, реакции на триггеры. В реале ты думаешь быстро, а модель всегда спотыкается о лишние уточнения. Но прогресс есть - чем больше материала скормлю, тем больше это похоже на «цифрового меня»
Следующий шаг – научить её моим рабочим скиллам. Чтобы, например, она могла мониторить проекты, чекать состояние сервисов, а если что-то падает – пытаться «чинить» по заранее прописанным сценариям 😁
Типа «мини я», который сидит на дежурстве 24/7 и не париться, что кофе закончилось)
В перспективе хочу довести до того, чтобы можно было вести параллельную жизнь: кто-то пишет «мне», а отвечает модель. И никто даже не замечает подвоха. Удобно? Опасно? Или и то, и другое сразу?
Эксперимент интересный. На выходе получается гибрид между дневником, ассистентом и цифровым двойником 😂
А если навесить ещё больше памяти, навыков и контекста – то можно уйти в отпуск, а вместо тебя будет работать «ты»
Кароче, если получится, покажу и расскажу. 🤍
t.me/intelpad
Залил туда часть своих текстов, мыслей, куски переписок - и оно реально начало выдавать ответы как будто я сам пишу. Правда, пока не идеально, процентов 20-30 мусора и случайностей, но зато иногда ловлю прикол с этого и думаю, я ли это писал или ИИ.
Сложность в том, чтобы собрать именно мою модель поведения: сленг, структура фраз, реакции на триггеры. В реале ты думаешь быстро, а модель всегда спотыкается о лишние уточнения. Но прогресс есть - чем больше материала скормлю, тем больше это похоже на «цифрового меня»
Следующий шаг – научить её моим рабочим скиллам. Чтобы, например, она могла мониторить проекты, чекать состояние сервисов, а если что-то падает – пытаться «чинить» по заранее прописанным сценариям 😁
Типа «мини я», который сидит на дежурстве 24/7 и не париться, что кофе закончилось)
В перспективе хочу довести до того, чтобы можно было вести параллельную жизнь: кто-то пишет «мне», а отвечает модель. И никто даже не замечает подвоха. Удобно? Опасно? Или и то, и другое сразу?
Эксперимент интересный. На выходе получается гибрид между дневником, ассистентом и цифровым двойником 😂
А если навесить ещё больше памяти, навыков и контекста – то можно уйти в отпуск, а вместо тебя будет работать «ты»
Кароче, если получится, покажу и расскажу. 🤍
t.me/intelpad
Ребята из SEC.NET взяли и показали, что миллиардный бюджет – не панацея 🤭
1 октября они за сутки уронили веб-сайт abo.bahn.de: нашли origin за CDN, в публичных JS - куча дыр (prototype pollution, небезопасная загрузка скриптов, кривые кукис, бесконечные циклы и неблокируемое слияние объектов) - и добились отказа сервиса через простую нагрузку на запросы. Akamai, Bot Manager и WAF не спасли - защита просочилась.
Говорят, поезда и личные данные пользователей не трогали - это был урок о том, что у гигантов иногда нет базовой валидации и контроля кода.
Деньги ≠ безопасность - пора ставить нормальный WAF, закрывать ориджин и ревьюить JS.
Подробности у них: t.me/secnetzone
t.me/intelpad
1 октября они за сутки уронили веб-сайт abo.bahn.de: нашли origin за CDN, в публичных JS - куча дыр (prototype pollution, небезопасная загрузка скриптов, кривые кукис, бесконечные циклы и неблокируемое слияние объектов) - и добились отказа сервиса через простую нагрузку на запросы. Akamai, Bot Manager и WAF не спасли - защита просочилась.
Говорят, поезда и личные данные пользователей не трогали - это был урок о том, что у гигантов иногда нет базовой валидации и контроля кода.
Деньги ≠ безопасность - пора ставить нормальный WAF, закрывать ориджин и ревьюить JS.
Подробности у них: t.me/secnetzone
t.me/intelpad
🕊2
Кароче, все таки расскажу.
Сегодня ночью крипта устроила тотальный обвал - исторический рект, которого рынок ещё не видел. Биткоин за пару часов сдулся почти на 9%, а альты просто испарились.
Причина? Трамп бахнул 100% пошлины на китайское ПО.
За последние 24 часа ликвидировано 1.618.240 трейдеров, общий объём ликвидаций - около $20 млрд, хотя по факту, по внутренним оценкам намного больше. Почти $40 млрд OI исчезли из открытых позиций буквально за ночь. Это крупнейшая чистка за всю историю крипты.
На этом фоне рынок альтов просто разорвало. TON -80% в моменте ($0,56) многие проекты ушли в минус на 60-90% за считанные минуты. А вместе с этим сгорел и очередной гигант… если можно назвать его так - AlphaTON Capital. Компания подавала форму 6-K в SEC, объявив о привлечении $36 млн из запланированных $225 млн для запуска своего TON-казначейства, с DWF Labs в роли управляющего. Но самое интересное - обеспечение. AlphaTON открыла кредитную линию у BitGo Prime на $35 млн под залог TON. По условиям, если TON падает на 25% от цены залога - позиция ликвидируется. И угадай что? TON рухнул с головой, и AlphaTON этой ночью жиденько обосрались, получив полную ликвидацию.
Тем временем на бинансе случился отдельный сюр: альткоин $ATOM в моменте стоил $0,001 - практически ноль. У кого-то просто испарился депо, а у кого-то это стало золотой жилой 🤩
🤯 На Hyperliquid один трейдер открыл массивный шорт перед обвалом и заработал более $70.000.000 чистыми. Легендарный вход, почти невозможный тайминг.
Пока рынок приходит в себя, статистика остаётся безумной: $19 млрд ликвидаций, -9% по битку, капитализация рынка - $3,76 трлн, сотни тысяч ликвидированных позиций, и десятки фондов - либо с минусом, либо уже вне игры 😶
Такого шторма крипта не видела со времён FTX.
Сегодняшняя ночь войдёт в историю - день, когда рынок перезапустился, и слабые руки просто перестали существовать 🙌
🤍 t.me/intelpad
Сегодня ночью крипта устроила тотальный обвал - исторический рект, которого рынок ещё не видел. Биткоин за пару часов сдулся почти на 9%, а альты просто испарились.
Причина? Трамп бахнул 100% пошлины на китайское ПО.
За последние 24 часа ликвидировано 1.618.240 трейдеров, общий объём ликвидаций - около $20 млрд, хотя по факту, по внутренним оценкам намного больше. Почти $40 млрд OI исчезли из открытых позиций буквально за ночь. Это крупнейшая чистка за всю историю крипты.
На этом фоне рынок альтов просто разорвало. TON -80% в моменте ($0,56) многие проекты ушли в минус на 60-90% за считанные минуты. А вместе с этим сгорел и очередной гигант… если можно назвать его так - AlphaTON Capital. Компания подавала форму 6-K в SEC, объявив о привлечении $36 млн из запланированных $225 млн для запуска своего TON-казначейства, с DWF Labs в роли управляющего. Но самое интересное - обеспечение. AlphaTON открыла кредитную линию у BitGo Prime на $35 млн под залог TON. По условиям, если TON падает на 25% от цены залога - позиция ликвидируется. И угадай что? TON рухнул с головой, и AlphaTON этой ночью жиденько обосрались, получив полную ликвидацию.
Тем временем на бинансе случился отдельный сюр: альткоин $ATOM в моменте стоил $0,001 - практически ноль. У кого-то просто испарился депо, а у кого-то это стало золотой жилой 🤩
🤯 На Hyperliquid один трейдер открыл массивный шорт перед обвалом и заработал более $70.000.000 чистыми. Легендарный вход, почти невозможный тайминг.
Пока рынок приходит в себя, статистика остаётся безумной: $19 млрд ликвидаций, -9% по битку, капитализация рынка - $3,76 трлн, сотни тысяч ликвидированных позиций, и десятки фондов - либо с минусом, либо уже вне игры 😶
Такого шторма крипта не видела со времён FTX.
Сегодняшняя ночь войдёт в историю - день, когда рынок перезапустился, и слабые руки просто перестали существовать 🙌
🤍 t.me/intelpad
🕊2❤1🔥1
Тонкий маркетинг 2025:
покупаешь у себя же,
постишь об этом,
и сам себя благодаришь за активность.
Эффективно. Без посредников.
покупаешь у себя же,
постишь об этом,
и сам себя благодаришь за активность.
Эффективно. Без посредников.
🥴1
Фейковый npm пакет в TON
Где-то в начале года в npm залили пакет @ton-wallet/create, который имитировал легитимный пакет @ton/ton.
Выглядел как нормальный тул для создания кошельков в TON.
А на деле - обычный трёхан. При установке он читал сид из process.env.MNEMONIC и сливал его в чей-то тг бот.
Репозиторию и пакетам быстро (почти быстро, пакет висел 6 месяцев) дали по шапке и удалили из npm, когда спалили.
Все привыкли ковырять уязвы в смартах, а тут бац - старый добрый npm троян, как в 2018м 😁
Скамов в экосистеме и так навалом, а теперь ещё и фейковые либы ползут.
Так что если ты дев и собираешь что-то вокруг TON - хотя бы глянь, что ты ставишь.
А если не дев - просто знай, что иногда кошелёк крадёт кошелёк 🫡
t.me/intelpad
Где-то в начале года в npm залили пакет @ton-wallet/create, который имитировал легитимный пакет @ton/ton.
Выглядел как нормальный тул для создания кошельков в TON.
А на деле - обычный трёхан. При установке он читал сид из process.env.MNEMONIC и сливал его в чей-то тг бот.
Репозиторию и пакетам быстро (почти быстро, пакет висел 6 месяцев) дали по шапке и удалили из npm, когда спалили.
Все привыкли ковырять уязвы в смартах, а тут бац - старый добрый npm троян, как в 2018м 😁
Скамов в экосистеме и так навалом, а теперь ещё и фейковые либы ползут.
Так что если ты дев и собираешь что-то вокруг TON - хотя бы глянь, что ты ставишь.
А если не дев - просто знай, что иногда кошелёк крадёт кошелёк 🫡
t.me/intelpad
Слегка надоело смотреть на этот цирк с скам-маркетами и пирамидами, которые плодятся как тараканы, а потом испаряются с вашими деньгами.
Так что ловите новую ОЧЕНЬ НУЖНУЮ инициативу - Комитет Чести и Доверия (КЧД TON)
Суть проста: мы будем выдавать проектам «Знак Доверия TON». Если видите этот знак - можете быть уверены, что проект не заскамит вас. (как минимум до следующего аудита)
Как это работает:
1. Аудит на вшивость.
CEO должен прислать развернутое эссе на тему «Почему я не скам» и пройти тест Роршаха. Если в кляксах видит не лунный график, а повестку в суд - мимо.
2. Тех. проверка.
95% ликвидности проекта мы временно размещаем на нашем «Холодном Кошельке Доверия» (мой кошелек, да). Если команда не сбежит за 24 часа - уже хороший знак.
3. Финальный взнос.
После проверки проект платит за «Бесперебойное Доверие» (еще 5% от TVL), а мы выдаем НФТ с зеленой галочкой (Знак доверия).
Если проект без нашего знака - это не значит, что он скам. Но значит, что он не заплатил за аудит. А раз не заплатил - значит, есть что скрывать, верно?
Вопросы? Деньги? Жалобы? Все адресуйте мне, @nosint.
P.S. Нет, это не скам. Это регулирующий орган. Разницу чувствуете? 🤡
t.me/intelpad
Так что ловите новую ОЧЕНЬ НУЖНУЮ инициативу - Комитет Чести и Доверия (КЧД TON)
Суть проста: мы будем выдавать проектам «Знак Доверия TON». Если видите этот знак - можете быть уверены, что проект не заскамит вас. (как минимум до следующего аудита)
Как это работает:
1. Аудит на вшивость.
CEO должен прислать развернутое эссе на тему «Почему я не скам» и пройти тест Роршаха. Если в кляксах видит не лунный график, а повестку в суд - мимо.
2. Тех. проверка.
95% ликвидности проекта мы временно размещаем на нашем «Холодном Кошельке Доверия» (мой кошелек, да). Если команда не сбежит за 24 часа - уже хороший знак.
3. Финальный взнос.
После проверки проект платит за «Бесперебойное Доверие» (еще 5% от TVL), а мы выдаем НФТ с зеленой галочкой (Знак доверия).
Если проект без нашего знака - это не значит, что он скам. Но значит, что он не заплатил за аудит. А раз не заплатил - значит, есть что скрывать, верно?
Вопросы? Деньги? Жалобы? Все адресуйте мне, @nosint.
P.S. Нет, это не скам. Это регулирующий орган. Разницу чувствуете? 🤡
t.me/intelpad
🔥2🤣1
В Москве задержали владельца бота Userbox.
Следаки вменяют ему ст. 272 УК, хотя сам бот по сути просто юзал открытые источники и базы утечек – ровно как сотни других OSINT-ботов, на которых держится половина ТГ-разведки.
После закрытия Глаза Бога таких ботов развелось как грибов после дождя, но Userbox выделялся – аккуратный интерфейс, быстрый парсинг, куча фильтров и (в отличие от многих) адекватные ограничения + хорошие партнерские условия. Он был одним из ботов, который реально умел искать по утечкам и открытым источникам. После выхода 272.1 он даже прикрыл часть выдачи, чтобы не пересекаться с чистой персоналкой. Но, как видим, это не спасло.
Теперь интересный вопрос: где проходит грань между OSINT и неправомерным доступом к информации?
Когда один бот делает то же, что и обычный поисковик, но удобнее – его сажают.
А когда корпорации хранят твои данные на открытых «амазонбанкетех» – им максимум выдают пресс-релиз с извинениями.
Крч, одна клоунада. Займитесь поиском создателей Шерлока или Химеры лучше.
t.me/intelpad
Следаки вменяют ему ст. 272 УК, хотя сам бот по сути просто юзал открытые источники и базы утечек – ровно как сотни других OSINT-ботов, на которых держится половина ТГ-разведки.
После закрытия Глаза Бога таких ботов развелось как грибов после дождя, но Userbox выделялся – аккуратный интерфейс, быстрый парсинг, куча фильтров и (в отличие от многих) адекватные ограничения + хорошие партнерские условия. Он был одним из ботов, который реально умел искать по утечкам и открытым источникам. После выхода 272.1 он даже прикрыл часть выдачи, чтобы не пересекаться с чистой персоналкой. Но, как видим, это не спасло.
Теперь интересный вопрос: где проходит грань между OSINT и неправомерным доступом к информации?
Когда один бот делает то же, что и обычный поисковик, но удобнее – его сажают.
А когда корпорации хранят твои данные на открытых «амазонбанкетех» – им максимум выдают пресс-релиз с извинениями.
Крч, одна клоунада. Займитесь поиском создателей Шерлока или Химеры лучше.
t.me/intelpad
🕊2
Телегу начали аккуратно замедлять
По данным сетевиков и по ощущениям обычных пользователей - у крупных операторов заметно упала скорость загрузки телеграм.
Видео, кружочки, и остальное медиа - все стало подтупливать.
Никаких резких блокировок, никаких заявлений. Похоже на классическую тактику РКН чуть чуть ухудшить, а дальше можно будет сказать, что это у самого тг проблемы с инфраструктурой. Удобно)
Жалобы идут уже около недели, география широкая. РКН говорит ниче не замедлял, и вообще вы все врете.
Контекст тоже понятен: параллельно продвигается почти национальный мессенджер макС, и тг вдруг становится менее комфортным. Совпадений в таких историях не бывает 😁
Если у государства есть опасения по поводу переписок сотрудников - решайте это внутри госаппарата. Обязывайте своих пользоваться тем, чем считаете нужным.
Но деградировать сервис для всей страны - так себе идея. Хотя хуй на них.
t.me/intelpad
По данным сетевиков и по ощущениям обычных пользователей - у крупных операторов заметно упала скорость загрузки телеграм.
Видео, кружочки, и остальное медиа - все стало подтупливать.
Никаких резких блокировок, никаких заявлений. Похоже на классическую тактику РКН чуть чуть ухудшить, а дальше можно будет сказать, что это у самого тг проблемы с инфраструктурой. Удобно)
Жалобы идут уже около недели, география широкая. РКН говорит ниче не замедлял, и вообще вы все врете.
Контекст тоже понятен: параллельно продвигается почти национальный мессенджер макС, и тг вдруг становится менее комфортным. Совпадений в таких историях не бывает 😁
Если у государства есть опасения по поводу переписок сотрудников - решайте это внутри госаппарата. Обязывайте своих пользоваться тем, чем считаете нужным.
Но деградировать сервис для всей страны - так себе идея. Хотя хуй на них.
t.me/intelpad
😁2
Утечки, утечки и утечки… это не инцидент, а целый бизнес процесс.
Каждый раз одно и то же.
В сеть утекают десятки миллионов записей -
ФИО, телефоны, паспорта, адреса, ИНН, бонусные карты, всё подряд.
Компании делают круглые глаза, типа, что? Да не. ВОЗМОЖНО, затронута ЧАСТЬ данных. Ну или вообще не подтверждают утечку.
И гои выдыхают.
Хотя если смотреть на цифры - угроза там уже лет пять как постоянная.
Что реально напрягает так называемую систему? Не утечка, ибо утечки это просто фоновый шум. Её бесит агрегация. Когда данные: лежат кусками/на форумах/в дампах - всем похуй.
Но как только появляется бот / сервис / быстрый поиск - всё.
Это уже «неправомерный доступ», «преступная группа» и «угроза безопасности».
Почему сажают создателей ботов, а не тех, кто слил? Потому что утечка = хаос, агрегатор = структура. А структура у частных лиц недопустима.
Осинт - это легально, пока не масштабируется. Ты можешь гуглить, шерстить соцсети, искать по утечкам вручную. Это законно, ибо медленно и неудобно. Как только ты автоматизировал, ускорил, упростил дал доступ другим людям - ты внезапно стал проблемой. Не потому что пд, а потому что асимметрия силы.
Самый мерзкий момент в том, что эти же самые базы используются силовиками, используются СБ, используются «для служебных задач»
Но если ты частник - ты преступник, если у тебя погон - ты аналитик.
И, ребят, это не двойные стандарты, это архитектура!
t.me/intelpad
Каждый раз одно и то же.
В сеть утекают десятки миллионов записей -
ФИО, телефоны, паспорта, адреса, ИНН, бонусные карты, всё подряд.
Компании делают круглые глаза, типа, что? Да не. ВОЗМОЖНО, затронута ЧАСТЬ данных. Ну или вообще не подтверждают утечку.
И гои выдыхают.
Хотя если смотреть на цифры - угроза там уже лет пять как постоянная.
Немного скучной, но важной статистики:
По данным РКН (😂) и профильных ИБ-контор:
2022 ≈ 600 млн строк ПДн утекло в сеть
2023 ≈ 300 млн
2024 - темпы ниже, но стабильные (утечки просто перестали публично признавать)
Источник утечек в ~80-90% случаев:
инсайдеры, подрядчики, сотрудники колл-центров, аутсорс, админы, которым лень
Не какие-то гениальные хакеры, а всего-то обычные безответственные люди, которым платят мало и дают широкий доступ.
Что реально напрягает так называемую систему? Не утечка, ибо утечки это просто фоновый шум. Её бесит агрегация. Когда данные: лежат кусками/на форумах/в дампах - всем похуй.
Но как только появляется бот / сервис / быстрый поиск - всё.
Это уже «неправомерный доступ», «преступная группа» и «угроза безопасности».
Почему сажают создателей ботов, а не тех, кто слил? Потому что утечка = хаос, агрегатор = структура. А структура у частных лиц недопустима.
- Админ бота:
Обычный чел, команда из нескольких человек, которых посадить и повесить вину за все утечки на них - легче.
- Корпорация:
размытая ответственность, отдел ИБ, юристы, гос контракты
Выбор очевиден 💯
Осинт - это легально, пока не масштабируется. Ты можешь гуглить, шерстить соцсети, искать по утечкам вручную. Это законно, ибо медленно и неудобно. Как только ты автоматизировал, ускорил, упростил дал доступ другим людям - ты внезапно стал проблемой. Не потому что пд, а потому что асимметрия силы.
Самый мерзкий момент в том, что эти же самые базы используются силовиками, используются СБ, используются «для служебных задач»
Но если ты частник - ты преступник, если у тебя погон - ты аналитик.
И, ребят, это не двойные стандарты, это архитектура!
t.me/intelpad
❤2🔥2
И снова утечка? Нет - шантаж
Хакерская группировка ShinyHunters заявляет, что имеет в руках данные премиум пользователей Pornhub и требует выкуп в биткоине под угрозой публикации.
Reuters получил от них сэмпл базы и частично подтвердил подлинность данных через бывших пользователей из Канады и США.
Сам Pornhub тихонько подтвердил инцидент у третьей стороны - аналитического провайдера Mixpanel, но при этом говорит, что своих систем не взламывали, а пароли/платёжка не похищались.
ShinyHunters давно не первый раз так делает - такие группы воруют данные, выкладывают куски, а потом требуют деньги. Ну база 👌
Напряжение растет?)
t.me/intelpad
Хакерская группировка ShinyHunters заявляет, что имеет в руках данные премиум пользователей Pornhub и требует выкуп в биткоине под угрозой публикации.
Reuters получил от них сэмпл базы и частично подтвердил подлинность данных через бывших пользователей из Канады и США.
Сам Pornhub тихонько подтвердил инцидент у третьей стороны - аналитического провайдера Mixpanel, но при этом говорит, что своих систем не взламывали, а пароли/платёжка не похищались.
ShinyHunters давно не первый раз так делает - такие группы воруют данные, выкладывают куски, а потом требуют деньги. Ну база 👌
Напряжение растет?)
t.me/intelpad
❤1😁1
👀 НОВЫЕ УНИКАЛЬНЫЕ ПОДАРКИ в Telegram ВЫШЛИ!
Встречайте – Durov’s Sperm.
Что? А где восторг? Неужели вам это не понравилось?
🧐 Вы же так любите:
поблестело > купили > рассказали друзьям,
что это инвестиция в экосистему.
Теперь же все проще: не наклейки, не стикеры, а сразу семя великого основателя, мессии.
🤩 Представьте, какой будет ажиотаж:
Сплю и вижу новости в тгк такого типа:
Рохмуна обконча… Павел Дуров подарил Durov’s Sperm своему другу Рохману!
Это очень хороший ход для новой волны пиара в старсчейне, думайте 😃
Засадим больше гоев!
t.me/intelpad
Встречайте – Durov’s Sperm.
Что? А где восторг? Неужели вам это не понравилось?
🧐 Вы же так любите:
поблестело > купили > рассказали друзьям,
что это инвестиция в экосистему.
Теперь же все проще: не наклейки, не стикеры, а сразу семя великого основателя, мессии.
🤩 Представьте, какой будет ажиотаж:
- Кто больше соберет семени Дурова у себя в профиле.
- Подписки на приватные тгк за сперму Дурова.
- Тг аналитики будь писать: «У пользователей с 5+ сперматозоидами Дурова выше ретеншн».
Сплю и вижу новости в тгк такого типа:
Это очень хороший ход для новой волны пиара в старсчейне, думайте 😃
Засадим больше гоев!
t.me/intelpad
😁4👍1
pad
Оопачки 😆
Это, если что, иск против Роскомнадзора за блокировку звонков.
Истцы считают, что РКН нарушает конституционное право на получение информации.
Посмотрим, как «ничего не блокировали и не замедляли» будут объяснять в суде.
///
UPD: Таганский суд просто прекратил производство по иску против РКН и Минцифры 😁
Причина - истцы «не уполномочены защищать права Telegram и WhatsApp».
Истцы считают, что РКН нарушает конституционное право на получение информации.
Посмотрим, как «ничего не блокировали и не замедляли» будут объяснять в суде.
///
UPD: Таганский суд просто прекратил производство по иску против РКН и Минцифры 😁
Причина - истцы «не уполномочены защищать права Telegram и WhatsApp».
🔥2👎1
Очередной взлом телеграм ботов?
Мне скинули видео с канала overbafer.
Разобрал. Из «хакерства» там только превью.
Что он делает в видео:
Суть кейса простая и от этого ещё более мерзкая:
инлайн-кнопки в телеграме - это не UI, а просто оболочка над callback data.
Технически она выглядит примерно так:
Когда пользователь нажимает кнопку, телеграм не выполняет никакой логики. Он просто отправляет боту событие:
Если бэкенд слепо доверяет этим данным - твой бот не защищён.
Что происходит по факту:
* Клиент (в его случае аюграм) показывает callback data кнопок,
* Эти значения можно отправить вручную,
* Бот не проверяет контекст, доступ, состояние,
* Любая команда выполняется.
И из-за этого можно:
* Переходить в чужие разделы
* Вызывать админские действия
* Удалять чужих ботов,
Получить доступ к админке
Не «школьник взломал телеграм». Телеграм тут вообще ни при чём.
Это небезопасная прямая ссылка на объект (IDOR), отсутствие проверки состояния пользователя и полная логическая несостоятельность бэкенда.
Самое важное - это не баг и не пентест, а модель мышления. Разработчики ботов массово считают:
Нет. Он не должен её видеть, но может вызвать.
t.me/intelpad
Мне скинули видео с канала overbafer.
Разобрал. Из «хакерства» там только превью.
Что он делает в видео:
1. Находит телеграм бота, в котором можно создавать зеркала
2. Создаёт своё зеркало
3. Смотрит, какие callback data стоят у кнопок
4. Отправляет эти callback вручную, без нажатия кнопок
5. Меняет параметры в callback (ID бота, ID пользователя и т.п)
6. Получает доступ к чужим разделам и функциям
7. Вызывает действия, которые не предназначены для обычных юзеров
Суть кейса простая и от этого ещё более мерзкая:
инлайн-кнопки в телеграме - это не UI, а просто оболочка над callback data.
Технически она выглядит примерно так:
{
"text": "Профиль",
"callback_data": "menu_profile"
}Когда пользователь нажимает кнопку, телеграм не выполняет никакой логики. Он просто отправляет боту событие:
«Пользователь X нажал на кнопку с callback data = menu_profile»
Если бэкенд слепо доверяет этим данным - твой бот не защищён.
Что происходит по факту:
* Клиент (в его случае аюграм) показывает callback data кнопок,
* Эти значения можно отправить вручную,
* Бот не проверяет контекст, доступ, состояние,
* Любая команда выполняется.
И из-за этого можно:
* Переходить в чужие разделы
* Вызывать админские действия
* Удалять чужих ботов,
Получить доступ к админке
Не «школьник взломал телеграм». Телеграм тут вообще ни при чём.
Это небезопасная прямая ссылка на объект (IDOR), отсутствие проверки состояния пользователя и полная логическая несостоятельность бэкенда.
Самое важное - это не баг и не пентест, а модель мышления. Разработчики ботов массово считают:
«Ну юзер же не видит эту кнопку - значит не нажмёт»
Нет. Он не должен её видеть, но может вызвать.
t.me/intelpad
Please open Telegram to view this post
VIEW IN TELEGRAM