Уязвимость на Habrahabr или как украсть инвайт

[@wowkin]

Ахаха! Молодец!
Теперь половина пользователей «Read-only» получат инвайт.
P.S. при условии что они постоянные читатели

[@antonk18]

Я конечно дождался пока уязвимость устранят и после этого выложил статью

[@Alanir]

Всё правильно сделал!

[@nagimov]

ИЖ!

[@Mikhail_K]

Эгоист!

[@Dyo]

Мне кажется тот кто догадался воспользоваться уязвимостью уже заслуживает инвайт. Поэтому вначале я подумал что это может быть не баг а фича :)

[@Mirth]

А зачем выложил-то? Нет, я не спорю, что публиковать незакрытые уязвимости неэтично. Я просто не вижу смысла публиковать закрытые, кроме как строчкой вида «Надысь нашёл баг с перехватом ID инвайт-тикета, вчера отдал чинить». Зачем эта статья? Для чего?

[@Indexator]

Обычно такие статьи — другим урок… О том как НЕ надо делать…

[@Mirth]

Эм. Наверное, я криво формулирую.
Для чего нужно руководство, которым нельзя воспользоваться? Зачем делать «урок о том, как не надо» в формате подробного мануала?

[@Suvitruf]

Мне лично интересно читать статьи, где люди описывают свой опыт в той или иной области.

[@Cheezo]

>Спустя час уязвимость была локализована
>Теперь половина пользователей «Read-only» получат инвайт.
Хоть бы прочитал до конца, прежде чем комментировать.

[@wowkin]

Так обрадовался и хотел рассказать друзьям, что недочитал, сори.

[@f0b0s]

Так зачем же было тратить время на коммент? Быстрее друзьям нужно было бы писать — хакать как можно скорее!!11

[@taliban]

Дык первый же, как это первому не оставить камент? Даже дом гореть будет, а первый всгда оставит камент, потому что первый!

[@Dimchansky]

уязвимость была локализована

[@Inori]

Извините что не по теме, но печально смотреть как вполне адекватного и активного хабра-человека за один неудачный комментарий можно сказать казнили.
Ладно минус комментарию, но еще и карму слили. Зачем?
Поставлю человек плюс, хоть это уже по ходу ничего не меняет :/

[@Dreddik]

Он может сделать сброс. Ну а еще проблема в том, что человек настолько хотел стать первонахом, что осудил статью по 3-6 строкам

[@Sauron]

Это не ответ. Сброс можно сделать лишь раз, но не в сбросе дело.
Вопрос был почему за один — один! — комментарий адекватного и активного юзера фактически «хаброказнили» — есть ли в таком поведении смысл?

[@Dreddik]

Ещё раз говорю: пользователь совершил хабрасуицид, потому что читает первую и последнюю строки статьи. Даже не предпоследнюю (иначе он бы не стал писать то, что написал). А первую и последнюю. Чувствуете, что он это как бы сам этого добивался?

[@Sauron]

Ваш вывод непонятен — о «локализации» уязвимости сказано лишь в предпоследнем абзаце, да и само слово «локализация» не означает устранение уязвимости — автор топика неверно выбрал выражение.
Прочитав одну статью по диагонали, и поспешно откомментировав автор «как бы добивался» хаброказни? Сомнительно.

[@Dreddik]

Для 285 хабрапользователей это выглядело именно так

[@Suvitruf]

Но он всё же потом извинился =/

[@Dreddik]

Я бы не назвал это извинением, откровенно говоря 8)

[@Suvitruf]

Я не совсем логику понимаю слива кармы и рейтинга единовременно.
То что слили рейтинг, это понятно — негативная оценка к комментарию. Но вот, зачем карму понижать, честно говоря, не понимаю. Я всё же считал, что карма отражает вклад в сообщество…

[@Dreddik]

Это социальное сообщество. А значит оно не поддаётся логике

[@Sauron]

> есть ли в таком поведении смысл?
Т.е. ваш ответ: «нет, и не просите — это социальное общество» ((-:

[@Dreddik]

Ё моё, да успокойтесь уже.
Всё равно ничего не изменить

[@Sauron]

Читаю как «оставьте меня в покое» (-;

[@Dreddik]

Хорошо.
Оставьте меня в покое. Почему я должен отдуваться за всё сообщество?

[@Inori]

Ну что значит не изменить.
До моего сообщения у него было -45 в карме, теперь -22, не смотря на активное сливание обиженных (на что я так и не понял).

Еще чуть-чуть и у человека будет второй шанс.

[@Wesha]

Пишу Вам из 2019 года. Карма у сабжа +3. У человека наконец-то появился второй шанс!

[@54300]

Жалко юзера wowkin :(

[@Triang3l]

Дело в том, что топик очень популярный и резонансный.

В реальной жизни всё так же.

Написать плохой комментарий в каком-нибудь узкопрофильном хабе — как рассказать унизительную историю о себе знакомым на лавочке. Ну дадут пару кулаков в крайнем случае и забудут.

Написать плохой комментарий к такому топику — как рассказать такую же историю в мегафон на площади во время массовой демонстрации или гуляния, опозориться на всю страну.

[@Pure_BY]

+1 вам, но не забывайте, что первый человек, который пришёл погулять на площадь, ещё не в курсе «резонансности происходящего».

[@fanex]

Значит не повезло. Совсем как в жизни.

[@Pure_BY]

За это, собственно, и «+1» :-)

[@2fast4rabbit]

А что тут печального? Это давно уже норма хабралайфа: облажался — умри! Тут не любят неугодных, имеющих свою точку зрения или просто неудачно пошутивших людей. За это их заклюют, растопчат и уничтожат. После такого люди уже не возвращаются. Во всем виновата система, которая стимулирует кармадрочерство и убивает желание писать на хабре у многих адекватных людей.

[@Triang3l]

216 read-only получили инвайт с 15 кармы и заминусовали вас и ваш комментарий.

[@leviothan]

Молодцом!
заслуженно «получил» инвайт

[@Klajnor]

Заслуженно украл инвайт
Хорошее выражение

[@Goobs]

Скорее «отработал»

[@den_ru]

Да всё равно молодец!
Главное — голова работает.

[@One_Touch]

Осталось найти «потерпевшего».

[@Nedder]

Сейчас тут появятся десятки «потерпевших». И потребуют вернуть инвайт.

[@sagus]

Не появятся — у них же read-only аккаунт и они сейчас читают просто статью, без возможности написать «Верните инвайт, негодяи!»))

[@safright]

Хабр знает, кто отправил инвайт — ему просто его вернут. Ну или не вернут — это уж как НЛО решит.

[@yul]

«Зачем нам неудачники»?

[@starius]

Не появятся. Они же «Read-only».
Интересно, можно ли найти, кому предназначался тот инвайт и кем он был выдан.

[@KirAmp]

Отправил автору инструкцию по выяснению потерпевшего в ЛС. Думаю, что уязимость схожа с найденой мной и выяснить email-потерпевшего не состивит труда.
Вызываю antonk18 в эту ветку, дабы огласил результат.

[@KirAmp]

Кстати, если интересно могу написать в саппорт об этой уязимости и позже написать об этом статью. Правда она куда безобидней и требует в наличии инвайт.

[@antonk18]

Отписал в личку, а в настройках указаны мои ящики эл. почты
И кстате службу поддержки просил вернуть инвайт человеку у которого его похитил

[@KirAmp]

Значит корни уязвимостей растут из разных мест. Но система инвайтов-картинок хоть и интересна, но не совершенна, это однозначно

[@Dreddik]

А вы дайте ему инвайт, вам всё равно за статью должен достаться

[@antonk18]

К сожалению не могу никак узнать кому он принадлежал :(

[@vBlack]

А ларчик просто открывался

[@easterism]

А почему зарегистрирован 14 мая 2012? Это потерпевший?

[@Suvitruf]

«Read Only» был?

[@antonk18]

Да

[@One_Touch]

Видимо тогда зарегистирован read only aкк

[@phoenixweiss]

дата регистрации ставится тогда, когда человек просто зарегистрировался на хабре(рид-онли).
У меня также, прошлым годом регистрация, а инвайт месяц назад только получил.

[@betal]

Точно так же получил инвайт)) но уязвимость была посерьезнее)) Тоже отписался на почту компании… давненько это было)

[@imater]

Вот для чего НЛО похищает людей.

[@kyrie]

НЛО могла бы им плашки выдавать, типа «хакер». Интересно, сколько их на хабре? )

[@leotsarev]

Четкий, программистский способ

[@Fedcomp]

все же скорее тестерский/пентестерский.

[@Alanir]

Всё правильно сделал!

[@xmoonlight]

antonk18, молодец! А кто-то просто находит и молчит…

Ну все… Терь понесется неофициальная олимпиада по поиску уязвимостей на хабре!!!
Терь все будут искать нераскрытые уязвимости «в поте лица»…
Держись, Хабр!

[@icoz]

Ну в этом и есть разница между black-hat и white-hat

[@nkie]

10 минут, это еще повезло. Можно было пол дня так сидеть, капчу набивать…

[@Suvitruf]

А вдруг подобные уязвимости неслучайны?
Вдруг НЛО специально таким образом отбирает хакеров и затем использует в каком-то тайном проекте? Рекрутируют для Anonymous group)

[@Dreddik]

А кто не соглашаются, принудительно получают -100 и «Тролль»

[@mrviktor]

После регистрации надо было посмотреть, кто папа. У и просить прощения у него.

[@silvansky]

Папа в данном случае — НЛО. На скриншоте видно.

[@antonk18]

На скрине:
Зарегистрирован:14 мая 2012 в 21:08 по приглашению НЛО

[@mrviktor]

я это видел, но думаю, что изначально там было имя пострадавшего.

[@antonk18]

изначально там было НЛО, и смысл мне обманывать

[@Devix]

Пострадавший — тот, кто не успел активировать инвайт, а не тот, кто его выдал.

[@Mithgol]

Отчасти пострадали оба. Прежде, чем выдать инвайт, его приходится самому заработать, а это не так-то просто — сочинить блогозапись, достигающую трёхзначного положительного рейтинга.

[@OlegTar]

необязательно трёхзначного. Просто статья должна понравится тому, кто имеет лишний инвайт.

[@OlegTar]

ться*

[@mgremlin]

Читаем внимательно.
Чтобы «иметь лишний инвайт» —

его приходится самому заработать, а это не так-то просто — сочинить блогозапись, достигающую трёхзначного положительного рейтинга.

С неба инвайты не падают, если человек выдал инвайт — он должен прежде его заработать, а когда потом (или пОтом :-) заработанный инвайт уходит в никуда — обидно.
У меня как раз так: пригласил человека из песочницы. И параллельно ему дал инвайт НЛО. С одной стороны хорошо — достойный человек на хабре. С другой — у меня инвайт потратился впустую. Нехорошо, однако :-)
Думаю, про это Mithgol и написал.

[@hostadmin]

Самый правильный способ получить инвайт на ИТ-ресурс.

[@general]

Напомнило:
Срочно требуется опытный хакер! Резюме оставлять на рабочем столе нашего сервера.

[@ur3ckr]

Сервера ведь не только на базе Linux, Unix. Есть еще и виндовые (Win2k3, 2k8)

[@almalini]

Есть и холиварная середина — os x server, например. И стол тебе, и как бы юникс.

[@Sauron]

А самый правильный способ получить инвайт на ресурс по бизнесу — открыть свой конкурирующий ресурс, задавить и купить оригинальный.
А на ресурс по юриспруденции — отсудить.

[@hostadmin]

кстати можно засудить за дискриминацию

[@Grigorieff]

Инвайт заслуженный.

[@Scrooge2]

Это был мой инвайт. Верни!

[@fil9]

Возможно, после этого комментария мой аккаунт отправит в read-only НЛО. Но XSS уязвимость не закрыта с 6 января.
Да, ее трудно воспроизвести, но ведь крыть то нужно.

[@blare]

Раньше за такие посты банили

[@absolvo]

Автор дождался, пока уязвимость исправят. Не вижу причин банить, например.

[@blare]

Я и раньше не видел, но вот было такое негласное(а может и гласное) правило=)

[@fil9]

Тогда человек выкинул способ обойти капчу, случайно( из черновиков в паблик вышла). Ему дали бан, хоть он и не специально.
Ну как я например, но я уведомил разработчиков 5 Января, а толку то.
Посмотрим что будет, интерес, знаете ли :)

[@blare]

Еще был случай с внутренним голосом)

[@fil9]

И возможность писать из песочницы в ленту)

[@Boomburum]

Передал информацию про XSS разработчикам, сейчас исправим.

[@fil9]

Минутку, удалю фото.

[@Isis]

Видимо где-то потеряли таск. Уже занимаются этой проблемой.

[@fil9]

Боюсь, что это вина Boomburum, я ему писал.
Может забыл?


P.S Уважаю оперативность!

[@fil9]

Оказывается, я еще и заработать пытался…
Минус мне!

[@Boomburum]

Ц-ц-ц )

Помню такое письмо, но почему баг не исправили до сих пор, сейчас сложно сказать — минус мне ) Но сейчас исправим.

В любом случае, подобные вещи лучше сразу писать в суппорт.

[@fil9]

Будем знать.
Все хорошо то, что хорошо кончается :)

[@Indexator]

А другие ситуации, не связанные с уязвимостью, багами не считаются? Писал как-то об этом здесь: habrahabr.ru/qa/35203/ ничего не изменилось… Или это тоже в суппорт нужно репортить? Вообще, такое впечатление, что сайт ведет один разработчик, который просто физически не успевает (не хочет?) поддерживать его в состоянии, что называется «в ногу со временем», а тем более исправлять баги, не использует тесты и тд… Возможно, я ошибаюсь.

[@fil9]

Верстка — ахиллесова пята любого ресурса.

[@Boomburum]

Подобные штуки тоже лучше в суппорт. А штат у нас и правда небольшой ;)

[@vadimzz]

в 1937-м?

[@antonk18]

Все, начинается неделя уязвимостей хабра

[@fil9]

Сказал виновник торжества :)

[@Mezya]

Зделка прошла успешно. Инвайт взял впирод.

[@stan_jeremy]

гениально :)

[@sino_spb]

Мистер жополиз, это вы?

[@KonstantinSolomatov]

У вас дата регистрации май 2012 года. Уязвимость получается почти год исправляли?

[@Mear]

Дата регистрации != дата инвайта
Регистрация может быть и read-only

[@Mear]

Дата обнаружения уязвимости и сообщения в саппорт, думаю, примерно совпадает вот с этим вопросом в Q&A:
habrahabr.ru/qa/38281/

Т.е. уязвимость была исправлена менее чем за сутки.

[@antonk18]

автора вопроса смотрели?

[@Mear]

Ну так я про то и говорю. Что автор то один. А значит в саппорт Вы написали вчера.

[@antonk18]

«Спустя час уязвимость была локализована»

[@Mear]

Т.е. уязвимость была исправлена менее чем за сутки.

Не противоречит

«Спустя час уязвимость была локализована»

А я уже и забыл о таких мелочах в посте.

Ну и да, развели мы тут полемику на ровном месте ))

[@KawaiDesu]

Выше уже писали, что это дата регистрации рид-онли акка. Стоило обновить комментарии, однако.

[@ViGilant]

невиданный рост кармы и рейтинга у автора, уже 7-й в рейтинге хабралюдей :)

[@BelAnt]

Ждём пост 'Уязвимость на Habrahabr или как накрутить рейтинг'

[@ViGilant]

это «социальная уязвимость») точнее, социальный фокус
вот, автор украл инвайт, технично рассказал всем об этом, еще и оказался на коне))

[@Boomburum]

Карма на позицию в рейтинге не влияет.

[@Timursan]

Читайте его следующую статью «как повысить себе карму».

[@antonk18]

уже 5-й, а пост по просьбам читающих обязательно напишу

[@Wott]

А чё, правильно. Было бы неплохо если бы регистрацию проходили исключительно методом взлома формы регистрации :)

[@coolmiha]

>>даже позвонил по номеру телефона в компанию ТМ
А когда я звонил по вышеозначенному телефону, мне ответил испуганный молодой человек, который сказал, что про хабр ничего не знаем, пишите на email и вообще ходют тут всякие.

[@Fenja]

Хочешь инвайт? Взломай хабр!

[@Dreddik]

Автор не только попал на хабр, но ещё и получил от него хороший заряд на всю оставшуюся жизнь.

[@WiseRaccoon]

«Раньше я просил Бога, чтобы он подарил мне велосипед, но потом я понял, что Бог работает по-другому — я украл велосипед и стал просить Бога о прощении...»