даже если вебапп есть, это не говорит о том, что бот лежит на том же сервере. только зеленый кек возьмет и будет все держать на одном сервере.Интересно, можно ли найти сервер где размещен бэкенд бота у которого веб апы нет…?
-
XSS.stack #1 – первый литературный журнал от юзеров форума
да, но от бота зависитИнтересно, можно ли найти сервер где размещен бэкенд бота у которого веб апы нет…?
лично я в эксперементальных настройках тг врубил прикол, который позволяет пользоваться апками как браузером) помню таким методом автоботов в катизен клипали
Только что (минут 30 назад от даты написания) взломал телеграмм казино бота на звезды, чекал по просмотрам тг ботов и нашел бота у которого 500 пользователей в месяц. Кратко: 2 часа копался и нашел сначала openapi json, а потом и endpoint вывода звезд, собрал post запрос для моего аккаунта, выглядит он так - {"telegram_id":айди,"username":"юзерТГ","amount":кол-во звезд}
что странно метод был PUT, а не post. в итоге сработало самое очевидное, в amount я написал кол-во звезд с минусом и они прибавились к моему балансу, после этого я запросил вывод, админ конечно мне его не дал и я выпросил максимально скромный и маленький bounty который админ мне сразу выдал взамен за уязвимость.
что странно метод был PUT, а не post. в итоге сработало самое очевидное, в amount я написал кол-во звезд с минусом и они прибавились к моему балансу, после этого я запросил вывод, админ конечно мне его не дал и я выпросил максимально скромный и маленький bounty который админ мне сразу выдал взамен за уязвимость.