Singularity Alpha

12 декабря вечером ко мне в Discord стучится приятель со словами «Зайди в нотпиксель, проверь таски». Ну, почему бы и нет? Захожу, вижу, что есть таска где вся реклама идёт через AdsGram — популярный сервис, который, по идее, должен работать как часы.

Как работает AdsGram?
Ты отправляешь запрос: «Дайте мне рекламу».
Просматриваешь (или делаешь вид, что смотришь).
Сервис подтверждает рекламу у рекламодателя и выдаёт тебе плюшки (в данном случае PX).

Поначалу всё выглядело достаточно буднично: ну, посмотрел ролик, начислили монетки, вуаля. Стало интересно, можно ли накрутить эти просмотры.

Первые эксперименты
Мы начали крутить это чудо: открыли код, поглядели запросы. Сначала упёрлись в порог: примерно 60 реклам, и всё, дальше система нас блокирует. Окей.

Ротация прокси. Если мы меняем IP-адреc, то лимит снимается. Но полностью? Нет, оказалось, что ещё была проверка на Telegram ID и ограничение в 2 запроса в секунду (2 RPS).

Задержки. Если делать паузы между запросами, можно обойти лимит частично, но много ли мы так будем развлекаться?

В чём «фишка»?
Пока мы игрались с ротацией и задержками, возникла интересная мысль: «А что, если запрашивать рекламу, но не отправлять сразу запрос о просмотре?» Оказалось, что AdsGram присылает некий «шифрованный» пакет, который подтверждает наш просмотр. И если мы его аккуратненько сохраняем, то можем использовать потом.

Вдобавок выяснилось, что никакой серьёзной авторизации нет: достаточно телеграм-ID. Получается, можно «штамповать» рекламы, собирать эти «пакеты» в базу данных, а потом массово отсылать подтверждение о просмотре.

Результат
Так мы, по сути, скрутили механизм и заспамили AdsGram левыми просмотрами. А самое забавное — всё это делалось без особых заморочек: никаких сложных ключей, капч или обязательной авторизации. Просто «дай рекламу», «сохрани данные», «отправь подтверждение» — и PX капают на счёт.

В данный момент я не знаю пофиксили ли это, шифрование в AdsGram - просто набор данный (uuid, ip, timestamp.. *и еще какие-то) обернутые в base64. Особо не разбирался, если кому-то будет интересно можете покрутить, думаю что еще можно открутить кучу рекламы.