How can I read @whydrain without a Telegram account?

TGViewer shows the public web preview Telegram publishes for Сигмыч: recent posts, photos, videos and the subscriber count, with no app, login or account.

How many subscribers does Сигмыч have?

Сигмыч (@whydrain) has 100 subscribers on Telegram, refreshed roughly every 30 minutes.

Does Сигмыч know I viewed it here?

No. Public channel previews carry no viewer identity, and TGViewer has no accounts or tracking of what you look up.

Сигмыч (@whydrain) — Telegram Channel

Ферма «нотпикселей»

12 декабря вечером ко мне в Discord стучится приятель со словами «Зайди в нотпиксель, проверь таски». Ну, почему бы и нет? Захожу, вижу, что есть таска где вся реклама идёт через AdsGram — популярный сервис, который, по идее, должен работать как часы.
Как работает AdsGram?

Ты отправляешь запрос: «Дайте мне рекламу».
Просматриваешь (или делаешь вид, что смотришь).
Сервис подтверждает рекламу у рекламодателя и выдаёт тебе плюшки (в данном случае PX).

Поначалу всё выглядело достаточно буднично: ну, посмотрел ролик, начислили монетки, вуаля. Стало интересно, можно ли накрутить эти просмотры.
Первые эксперименты

Мы начали крутить это чудо: открыли код, поглядели запросы. Сначала упёрлись в порог: примерно 60 реклам, и всё, дальше система нас блокирует. Окей.

Ротация прокси. Если мы меняем IP-адре, то лимит снимается. Но полностью? Нет, оказалось, что ещё была проверка на Telegram ID и ограничение в 2 запроса в секунду (2 RPS).

Задержки. Если делать паузы между запросами, можно обойти лимит частично, но много ли мы так будем развлекаться?

В чём «фишка»?

Пока мы игрались с ротацией и задержками, возникла интересная мысль: «А что, если запрашивать рекламу, но не отправлять сразу запрос о просмотре?» Оказалось, что AdsGram присылает некий «шифрованный» пакет, который подтверждает наш просмотр. И если мы его аккуратненько сохраняем, то можем использовать потом.

Вдобавок выяснилось, что никакой серьёзной авторизации нет: достаточно телеграм-ID. Получается, можно «штамповать» рекламы, собирать эти «пакеты» в базу данных, а потом массово отсылать подтверждение о просмотре.
Результат

Так мы, по сути, скрутили механизм и заспамили AdsGram левыми просмотрами. А самое забавное — всё это делалось без особых заморочек: никаких сложных ключей, капч или обязательной авторизации. Просто «дай рекламу», «сохрани данные», «отправь подтверждение» — и PX капают на счёт.

В данный момент я не знаю пофиксили ли это, шифрование в AdsGram - просто набор данный (uuid, ip, timestamp.. *и еще какие-то) обернутые в base64. Особо не разбирался, если кому-то будет интересно можете покрутить, думаю что еще можно открутить кучу рекламы.

Листинг конечно слабый оказался, но грех жаловатся, всех грац!

About this channel