RamCode

⌨️ В далеком 2013 году, копаясь в своем старом аккаунте на ok.ru, при удалении своих статусов (сейчас это заметки) — мне стало интересно, что будет, если в адресную строку браузера при удалении подставить ID чужой заметки вместо своей и нажать на кнопку удаления. 🤯 К большому удивлению — это сработало, заметка другого юзера была успешно удалена. То есть, я мог удалять заметки любых пользователей без каких-либо ограничений. Это был мой самый первый баг. В хакинге его обычно называют IDOR-уязвимостью. С этого и началась история моего 🤔 багхантинга (охота на баги). Решил не остановиться на этом и нашел еще куча подобных багов. Конечно же, достучался тогда до представителей соц. сети и отправил около 13 отчетов на специальную багбаунти-почту, а вознаграждения тогда были до $600 за один баг 🤑 Затем в 2015 году у них появилась своя багбаунти-программа на HackerOne, куда мною было отправлено еще 25 отчетов. Мою историю Hacktivity можно увидеть в моем профиле: hackerone.com/ramzan Но в начале 2022 года, после заморозки всех российских компаний, багбаунти-программа была перенесена на Standoff 365, куда мною было отправлено еще несколько отчетов. В общей сложности, без каких-либо специальных инструментов, с одним лишь браузером и минимальными знаниями — мною было обнаружено около 40 уязвимостей на ok.ru 🆗

✅ Юзернейм @lenta был занят мной еще в 2015 году, который я использовал для тестирования своего бота автопостинга. За время эксплуатации получал разные предложения о покупке, а максимальная сумма, которую предлагали не превышала $1000. Но запуск официального аукциона fragment.com и первоначального хайпа вокруг него — сделали свое. На аукционе @lenta был продан за 🪙 9,368 TON — чуть больше $16,000 по нынешнему курсу. Интересно то, что продан он уже как 10 месяцев, но все еще стоит на моем канале. Я не знаю, кто и для чего его покупал, но хочу передать ему большой респект! 👍

🚩 Моему первому боту недавно исполнилось 8 лет. Даже не знаю, сколько всего их у меня, давно сбился со счета. Но решил посчитать общую аудиторию в самых крупных из них, получилось что-то около 2 млн пользователей. 🤖 Конечно же, уникальных подписчиков из них будет меньше из-за пересечения аудитории в ботах. Но все равно, на мой взгляд — это неплохие цифры. Тем более, если принять в расчет, что за все это время я не заказывал ни одной платной рекламы. Да и вообще не потратил на раскрутку и продвижение этих ботов — ни цента. 💻 Я просто писал код и запускал своих ботов в свободное плавание.

🚩 Моему первому боту недавно исполнилось 8 лет. Даже не знаю, сколько всего их у меня, давно сбился со счета. Но решил посчитать общую аудиторию в самых крупных из них, получилось что-то около 2 млн пользователей. 🤖 Конечно же, уникальных подписчиков из них будет меньше из-за пересечения аудитории в ботах. Но все равно, на мой взгляд — это неплохие цифры. Тем более, если принять в расчет, что за все это время я не заказывал ни одной платной рекламы. Да и вообще не потратил на раскрутку и продвижение этих ботов — ни цента. 💻 Я просто писал код и запускал своих ботов в свободное плавание. Если вы захотите запустить свой крутой бот — мой линк всегда указан в описании этого канала! 📻

🎳 Потестим немного @gibot? В течение нескольких часов буду скидывать приглашения в игру в специальный чат бота и каждый кто меня победит в игре — будет получать 💲 1 доллар ~100 руб на свой @wallet. 💬 Чат: @gibot_chat

@gibot — новый бот в Telegram! Запустили игру, где вы можете приглашать своих друзей на дуэли и играть в разные эмодзи-игры. 🏀 Игра хоть и простенькая, но очень увлекательная. Работаем еще над крутыми обновлениями. Юзернейм для игры подобрал максимально короткий 👌 Игру уже заценил Павел Дуров. Он принял мой вызов и успел даже поиграть с командой 📞 К сожалению, в первой игре Павлу немного не повезло. Итог дуэли в прикрепленном видео. 😎 Зацените: @gibot

🔰 Хочу показать одну интересную функцию Теслы — Summon, которая дает управлять машиной извне. Это очень удобно, если на парковке слишком тесно и не хватает места открыть двери, либо когда хочешь припарковаться впритык к бордюру. Ну или когда лень подойти к машине — почему бы просто не позвать машину к себе 🔰 А с остальным функционалом так неплохо справляется и мой бот: @GoTeslaBot

❓ @quizzes_bot — мой бот для викторин, на мой взгляд, все еще недооценен. В публичном каталоге бота сейчас около 200 увлекательных викторин на любую тематику и более 5500 уникальных тестов. У бота широкий функционал, намного больше возможностей, чем у официального QuizBot'a. Кто хочет создать свою викторину — может сделать это очень легко через панель управления в боте и получить специальную ссылку. А любая ваша викторина, прошедшая мою модерацию — может попасть в каталог бота и стать доступной почти для 100 тыс. пользователей бота. 🥶 Проверяйте и освежайте свои знания с @quizzes_bot!

✅ Давно хотел совместить два этих юзернейма на своем аккаунте. Почему-то думал, что аукцион для одного из них должен быть завершен и постоянно откладывал на потом. Оказывается, если закинуть основной юзернейм на fragment.com и сделать первую ставку, то место для основного сразу же освобождается. Но нужно быть осторожным, кто-то может захотеть выиграть аукцион и забрать себе ваш юзернейм — но я пойду до последнего тона на своем Tonkeeper 🪙 А пока Телеграм допиливает сторисы для каналов, можете смотреть на моем аккаунте: - откройте @ramzan; - нажмите на «Добавить в контакты» и готово. 👿 Так мои сторисы будут выводиться в ленте.

✅ Конкурс завершен! 🏆 Победители: 👤 ‎Osman 👤 ‎exyvo 👤 ‎Mura [Dag] 👤 ‎م 👤 ‎Насруди 👤 ‎beshuk 👤 ‎yes yes 👤 ‎. 👤 ‎A M 👤 ‎асель 👤 ‎ruslan 👤 ‎Safiya 👤 ‎Abdullah 👤 ‎Конаплёв 👤 ‎Yasmina 👤 ‎Джакип 👤 ‎Horses 👤 ‎Damir Agirov 👤 ‎Амр 👤 ‎Мухаммад

Розыгрыш Telegram Premium ⭐️ Разыгрываем 20 Premium-подписок на один месяц, либо дарим стоимость подписки 💵 Условия максимально просты, вам нужно подписаться на два канала: - @roxman - @ramcode └ Нажать на кнопку участия. ❤️ Бот рандомно выберет 20 победителей, которые получат подписки.

На днях тестировал 🪙 @wallet Начинал как обычно со сниффинга трафика, вроде все было ровно, веб-бот работает на домене walletbot.me и трафик там зашифрован. Но поймал странный POST-запрос с логами на какой-то сервис sentry.rtbst.com и обнаружил там в массиве ссылку для авторизации в кошельке. По этой ссылке можно было получить полный неограниченный доступ к кошельку с любого устройства. Допустим, что @wallet создает эту ссылку для web-app кнопки, но проблема была в том, что вообще не было проверки на наличие прав к кошельку у пользователя, да еще и слив этой ссылки в непонятный сервис. 🇸🇦 Создавал мини-конкурс в нашей приватной группе RR, закинул на кошелек немного TON на баланс и скинул ссылку в группу. Любой из участников группы мог получить доступ к кошельку, а один из них смог легко вывести все монеты на свой кошелек и обнулить мой баланс. Писал в Wallet Support, проблему так и не признали, но баг аккуратно пофиксили 🐸

🔥 Встречайте — Stories! Telegram только что выпустил долгожданное обновление с историями! Но пока, сторисы доступны только для аккаунтов. В моей ленте пока всего 2 сториса: мой и Дурова. 👀 Следить за моими сторисами можно на: @grozny

🤔 Раньше на HackerOne я принимал вознаграждения за уязвимости в биткоинах. За один хороший баг в среднем там — выплачивали 1 Bitcoin, который я выводил через обменник по ±$400. Вошел сейчас в один из своих старых криптокошельков и смотрю на транзакции по выводу 💰 BTC в 2016 году. Если посчитать, то с нескольких транзакций со скринов, я выводил 1.5 btc, тогда это было - $670. А сейчас, даже в такие не самые хорошие времена для биткоина — это уже было бы ~$50k. 🦮 Неплохое было время..

😊 Молодец, Siri!

🦆 Захотелось поуправлять сегодня своей Теслой с помощью голосового помощника Siri на iPhone и Apple Watch. Через официальное приложение Tesla ничего не получилось, а делиться с левыми приложениями своими ключами — не моё. 🎧 Решил сделать все сам. Благо, у Apple есть для этого отличное решение на iOS в виде приложения для автоматизации действий - Команды (Shortcuts). Создал свои команды для этого, осталось провести интеграцию со своим API — через который работает мой телеграм бот для управления Tesla. Расскажу в следующем посте, что из этого получилось 👌

🦆 Захотелось поуправлять сегодня своей Теслой с помощью голосового помощника Siri на iPhone и Apple Watch. Через официальное приложение Tesla ничего не получилось, а делиться с левыми приложениями своими ключами — не моё. 🎧 Решил сделать все сам. Благо, у Apple есть для этого отличное решение на iOS в виде приложения для автоматизации действий - Команды (Shortcuts). Создал свои команды для этого, осталось провести интеграцию со своим API — через который работает мой телеграм бот для управления Tesla. Расскажу в следующем посте, что из этого получилось 👌

🌄 Решил немного разнообразить свой контент и поделиться несколькими фотками из своей сегодняшней поездки по Швейцарии Кавказу.

Совсем немного осталось до появления сторисов в Telegram. Следующий большой апдейт с историями должен выйти уже в начале июля. 👋 А вы ждете?

💻 Я недавно писал о том, что смог обмануть рейтинг игроков в сервисе Quizlet. Потом додумался и отправил отчет об этом баге через bugcrowd.com Отчет был сразу принят и Quizlet начислил мне небольшое вознаграждение — $150. ⚠️ Но оказалось, что Bugcrowd вслед за HackerOne — тоже приостановил выплаты «белым хакерам» из России из-за введенных санкций. В итоге деньги застряли там и никак их не вывести..