RamCode

⌨️ В далеком 2013 году, копаясь в своем старом аккаунте на ok.ru, при удалении своих статусов (сейчас это заметки) — мне стало интересно, что будет, если в адресную строку браузера при удалении подставить ID чужой заметки вместо своей и нажать на кнопку удаления.

🤯 К большому удивлению — это сработало, заметка другого юзера была успешно удалена. То есть, я мог удалять заметки любых пользователей без каких-либо ограничений.

Это был мой самый первый баг.
В хакинге его обычно называют IDOR-уязвимостью. С этого и началась история моего 🤔 багхантинга (охота на баги).

Решил не остановиться на этом и нашел еще куча подобных багов. Конечно же, достучался тогда до представителей соц. сети и отправил около 13 отчетов на специальную багбаунти-почту, а вознаграждения тогда были до $600 за один баг 🤑

Затем в 2015 году у них появилась своя багбаунти-программа на HackerOne, куда мною было отправлено еще 25 отчетов.
Мою историю Hacktivity можно увидеть в моем профиле: hackerone.com/ramzan

Но в начале 2022 года, после заморозки всех российских компаний, багбаунти-программа была перенесена на Standoff 365, куда мною было отправлено еще несколько отчетов.

В общей сложности, без каких-либо специальных инструментов, с одним лишь браузером и минимальными знаниями — мною было обнаружено около 40 уязвимостей на ok.ru 🆗

✅ Юзернейм @lenta был занят мной еще в 2015 году, который я использовал для тестирования своего бота автопостинга.

За время эксплуатации получал разные предложения о покупке, а максимальная сумма, которую предлагали не превышала $1000.

Но запуск официального аукциона fragment.com и первоначального хайпа вокруг него — сделали свое.

На аукционе @lenta был продан за 🪙 9,368 TON — чуть больше $16,000 по нынешнему курсу.

Интересно то, что продан он уже как 10 месяцев, но все еще стоит на моем канале.

Я не знаю, кто и для чего его покупал, но хочу передать ему большой респект! 👍

🚩 Моему первому боту недавно исполнилось 8 лет.

Даже не знаю, сколько всего их у меня, давно сбился со счета. Но решил посчитать общую аудиторию в самых крупных из них, получилось что-то около 2 млн пользователей.

🤖 Конечно же, уникальных подписчиков из них будет меньше из-за пересечения аудитории в ботах. Но все равно, на мой взгляд — это неплохие цифры.

Тем более, если принять в расчет, что за все это время я не заказывал ни одной платной рекламы. Да и вообще не потратил на раскрутку и продвижение этих ботов — ни цента.

💻 Я просто писал код и запускал своих ботов в свободное плавание.

Если вы захотите запустить свой крутой бот — мой линк всегда указан в описании этого канала! 📻

🎳 Потестим @gibot?

Я собираюсь иногда скидывать приглашения в игру в специальный чат бота и каждый кто меня будет побеждать в игре — будет получать 💲 1 доллар ~100 руб на свой кошелек @wallet.

💬 Чат: @gibot_chat

@gibot — новый бот в Telegram!

Запустили игру, где вы можете приглашать своих друзей на дуэли и играть в разные эмодзи-игры.

🏀 Игра хоть и простенькая, но очень увлекательная. Работаем еще над крутыми обновлениями.

Юзернейм для игры подобрал максимально короткий 👌

Игру уже заценил Павел Дуров.

Он принял мой вызов и успел даже поиграть с командой 📞

К сожалению, в первой игре Павлу немного не повезло. Итог дуэли в прикрепленном видео.

😎 Зацените: @gibot

🔰 Хочу показать одну интересную функцию Теслы — Summon, которая дает управлять машиной извне.

Это очень удобно, если на парковке слишком тесно и не хватает места открыть двери, либо когда хочешь припарковать впритык к бордюру.

Ну или когда лень подойти к машине — почему бы просто не позвать машину к себе 🔰

А с остальным функционалом неплохо справляется и мой бот: @GoTeslaBot

❓ @quizzes_bot — мой бот для викторин, на мой взгляд, все еще недооценен.

В публичном каталоге бота сейчас около 200 увлекательных викторин на любую тематику и более 5500 уникальных тестов.

У бота широкий функционал, намного больше возможностей, чем у официального QuizBot'a.

Кто хочет создать свою викторину — может сделать это очень легко через панель управления в боте и получить специальную ссылку.

А любая ваша викторина, прошедшая мою модерацию — может попасть в каталог бота и стать доступной почти для 100 тыс. пользователей бота.

🥶 Проверяйте и освежайте свои знания с @quizzes_bot!

✅ Давно хотел совместить два этих юзернейма на своем аккаунте.

Почему-то думал, что аукцион для одного из них должен быть завершен и постоянно откладывал на потом. Оказывается, если закинуть основной юзернейм на fragment.com и сделать первую ставку, то место для основного сразу же освобождается.

Но нужно быть осторожным, кто-то может захотеть выиграть аукцион и забрать себе ваш юзернейм — но я пойду до последнего тона на своем Tonkeeper 🪙

А пока Телеграм допиливает сторисы для каналов, можете смотреть на моем аккаунте:
- откройте @ramzan;
- нажмите на «Добавить в контакты» и готово.

👿 Так мои сторисы будут выводиться в ленте.

✅ Конкурс завершен!

🏆 Победители:

👤 ‎Osman
👤 ‎exyvo
👤 ‎Mura [Dag]
👤 ‎م
👤 ‎Насруди
👤 ‎beshuk
👤 ‎yes yes
👤 ‎.
👤 ‎A M
👤 ‎асель
👤 ‎ruslan
👤 ‎Safiya
👤 ‎Abdullah
👤 ‎Конаплёв
👤 ‎Yasmina
👤 ‎Джакип
👤 ‎Horses
👤 ‎Damir Agirov
👤 ‎Амр
👤 ‎Мухаммад

Розыгрыш Telegram Premium ⭐️

Разыгрываем 20 Premium-подписок на один месяц, либо дарим стоимость подписки 💵

Условия максимально просты, вам нужно подписаться на два канала:
- @roxman
- @ramcode

└ Нажать на кнопку участия.

❤️ Бот рандомно выберет 20 победителей, которые получат подписки.

На днях тестировал 🪙 @wallet

Начинал как обычно со сниффинга трафика, вроде все было ровно, веб-бот работает на домене walletbot.me и трафик там зашифрован.

Но поймал странный POST-запрос с логами на какой-то сервис sentry.rtbst.com и обнаружил там в массиве ссылку для авторизации в кошельке. По этой ссылке можно было получить полный неограниченный доступ к кошельку с любого устройства.

Допустим, что @wallet создает эту ссылку для web-app кнопки, но проблема была в том, что вообще не было проверки на наличие прав к кошельку у пользователя, да еще и слив этой ссылки в непонятный сервис.

🇸🇦 Создавал мини-конкурс в нашей приватной группе RR, закинул на кошелек немного TON на баланс и скинул ссылку в группу. Любой из участников группы мог получить доступ к кошельку, а один из них смог легко вывести все монеты на свой кошелек и обнулить мой баланс.

Писал в Wallet Support, проблему так и не признали, но баг аккуратно пофиксили 🐸

🔥 Встречайте — Stories!

Telegram только что выпустил долгожданное обновление с историями!

Но пока, сторисы доступны только для аккаунтов. В моей ленте пока всего 2 сториса: мой и Дурова.

👀 Следить за моими сторисами можно на: @grozny

🤔 Раньше на HackerOne я принимал вознаграждения за уязвимости в биткоинах.
За один хороший баг в среднем там — выплачивали 1 Bitcoin, который я выводил через обменник по ±$400.

Вошел сейчас в один из своих старых криптокошельков и смотрю на транзакции по выводу 💰 BTC в 2016 году.

Если посчитать, то с нескольких транзакций со скринов, я выводил 1.5 btc, тогда это было - $670.

А сейчас, даже в такие не самые хорошие времена для биткоина — это уже было бы ~$50k.

🦮 Неплохое было время..

😊 Молодец, Siri!

🦆 Захотелось поуправлять сегодня своей Теслой с помощью голосового помощника Siri на iPhone и Apple Watch.

Через официальное приложение Tesla ничего не получилось, а делиться с левыми приложениями своими ключами — не моё.

🎧 Решил сделать все сам. Благо, у Apple есть для этого отличное решение на iOS в виде приложения для автоматизации действий - Команды (Shortcuts).

Создал свои команды для этого, осталось провести интеграцию со своим API — через который работает мой телеграм бот для управления Tesla.

Расскажу в следующем посте, что из этого получилось 👌

🌄 Решил немного разнообразить свой контент и поделиться несколькими фотками из своей сегодняшней поездки по Швейцарии Кавказу.