How to become an author
Search
Write a publication
Pull to refresh

Comments 58

Администрация ВКонтакте выплатила вознаграждение в 10к голосов.
Лучше бы бусами расплатились…
Total votes 100: ↑98 and ↓2 +96
Нашедшему уязвимость была предоставлена возможность вывести голоса, например получив деньги на банковскую карту.
Total votes 7: ↑7 and ↓0 +7
Почему не дали деньги сразу? Он за них купил бы голоса, если бы захотел.
Total votes 5: ↑3 and ↓2 +1
Думаю это технически проще и быстрей. Т.е. техникам проще начислить голоса, чтобы человек их обналичил по готовой процедуре, чем прогонять это вознаграждение через свою бухгалтерию, а там бюрократия поди огого какая. Не из своего же кармана они отстегивают.
Total votes 9: ↑8 and ↓1 +7
Стикеры, подарки… Даже рекламу нельзя ими оплатить.
Total votes 11: ↑11 and ↓0 +11
Можно, только если вы разработчик приложений.

Чтобы стать таковым, нужно быть автором хотя бы одного приложения, прошедшего модерацию.
Total votes 1: ↑1 and ↓0 +1
Угу. С этим мне помогли ребята из администрации ВКонтакте. На время одобрили одно приложение, через которое я и вывел все полученные голоса.
Total votes 6: ↑6 and ↓0 +6
Это же через бухгалтерию все придется проводить, подряд или договор или черт знает что еще.
Total votes 6: ↑6 and ↓0 +6
Т.е., не 70000 рублей, а всего лишь 35400 рублей.
Total votes 1: ↑1 and ↓0 +1
Открытки всякие и прочую дребедень :)

А вообще да, пожадничали. Гораздо выгодней было бы найти уязвимость в Telegram.
Total votes 5: ↑4 and ↓1 +3
В Селектеле можно оплачивать услуги.
Total votes 1: ↑1 and ↓0 +1
Чашку кофе, рюмку сухого вина, бутылку лимонада. Только тебя это не касается, вы с Копытиным здесь останетесь
This comment wasn’t rated yet 0
10к голосов.

Это как-то не честно, понимаю, что их потом можно продать(а можно ли?) за реальные деньги, но всё же.
Не спорю, что проще в базе циферку поменять, чем делать денежные операции.
Но лично мне стало бы обидно.
Total votes 16: ↑16 and ↓0 +16
Да, можно вывести через партнеров, это чистыми выйдет около 30к рубликов:
Выплата 1 голоса – 3.54 рубля с НДС
Ввод 1 голоса – 6.4 рубля

Парадокс, но даже тут владельцы вк удержат 45% от «премии» :)
Total votes 10: ↑10 and ↓0 +10
Тогда выгоднее искать группы/людей/сообщества где купят хотя бы по цене 70-80% от официальной цены покупки.
Total votes 4: ↑4 and ↓0 +4
Как предлагаете осуществлять сделку?
This comment wasn’t rated yet 0
Если есть возможность передавать голоса, то я ему голоса, он мне на эл. кошелек монетки
This comment wasn’t rated yet 0
Ограничение при передаче — не более 100 голосов, кажется, в сутки.

За год рассчитаетесь :)

Кроме того, если вас уличат в продаже на черном рынке, то забанят и вас, и ваших партнеров со всеми приложениями и группами.
Total votes 1: ↑1 and ↓0 +1
В WebMoney с помощью кода протекции вполне безопасно можно провернуть
This comment wasn’t rated yet 0
Администрация ВКонтакте выплатила вознаграждение в 10к голосов.


Экономно!
Total votes 20: ↑20 and ↓0 +20
Ребят, ну нет программы вознаграждения vk.com. Не будут же разработчики свои зарплаты раздавать :)

Мне тут птичка нашептала, что скоро будет полноценная программа bugbounty, тогда уже можно ругаться на малые выплаты.
Total votes 9: ↑9 and ↓0 +9
UFO just landed and posted this here
и видимо зря нет. если подумать, поощрять деньгами добропорядочных пользователей это очень хорошая идея. иной призадумается «а стоит ли мне сообщать об уязвимости или же лучше использовать её в личных целях?», посмотрит на то что вконтакте расплачивается фантиками, да и не станет писать в саппорт
Total votes 4: ↑3 and ↓1 +2
Удивительное совпадение, недавно пару сайтов проверял по этой схеме — добавляем в закладки то, что не могли бы добавить при нормальных условиях. Уже третий сайт из известных, который подвержен раскрытию приватной информации через закладки (избранное). Видимо это самая непроверяемая, безобидная на первый взгляд функция. Знал бы, что во вконтакте есть закладки — давно бы нашел и эту багу :)
Total votes 5: ↑0 and ↓5 -5
Где-то ещё есть закладки?
This comment wasn’t rated yet 0
Ну а фотки знаменитостей где? Надо было хотя бы парочку для привлечения внимания выложить)
Total votes 14: ↑13 and ↓1 +12
Поясните, пожалуйста, подробнее, как вы от имени чужих приложений запросы делали?
Даже если разработчик определенного приложения не запросил нужные вам права, то вы все равно можете делать нужные вам запросы?
Это тоже было исправлено?
Total votes 5: ↑4 and ↓1 +3
Это обычное поведение. Не разработчик приложения запрашивает права, а я сам:

https://oauth.vk.com/authorize?client_id=#{app_id}&response_type=token&display=mobile&scope=474367

Таким образом авторизую самого себя в этом приложении и получаю токен.

Если вы про scope, то он в настройках приложений не захардкожен и легко меняется на клиенте на любой желаемый.
Total votes 4: ↑3 and ↓1 +2
UFO just landed and posted this here
Администрация ВКонтакте выплатила вознаграждение в 10к голосов.

Как забавно читать, когда администрация какого-либо проекта расплачивается «фантиками», которые ей самой ничего не стоят.
Total votes 21: ↑16 and ↓5 +11
del

хоть так отблагодарили
все показано круто.

и на этом им нужно сказать спасибо и Автору за то что все так хорошо расписал!
Total votes 2: ↑2 and ↓0 +2
Сам баг простой и вк должно быть стыдно, как всегда. Но реализация крутая, использование execute 25 запросов и идея использования токенов от лица трастовых приложений тоже хорошая!
Total votes 7: ↑7 and ↓0 +7

Я пару лет назад такое распараллеливание использовал для нахождения людей по ссылкам на фотографии :)

This comment wasn’t rated yet 0
А при Дурове дали бы нормальных денег… может быть.
Total votes 7: ↑5 and ↓2 +3
Ого. Огромная просьба — а можете выложить скрипт для запросов к ВК?
Перевожу одну систему с JS на Ruby, ой как не хочется переписывать многопоточную молотилку запросов с execute.
Total votes 2: ↑1 and ↓1 0
Ешё 1000 подарков бы подарили…
Total votes 5: ↑5 and ↓0 +5
Прошел бы мимо, но не увидел комментария примерно следующего содержания: «Люк постарался, молодец!»
Total votes 2: ↑2 and ↓0 +2
Вот интересно — как закрыли? Таки начали проверять права при доступе или просто усложнили процедуру подбора URL?
This comment wasn’t rated yet 0
Проверяют права доступа
This comment wasn’t rated yet 0
UFO just landed and posted this here
image

А ресурсов подобных много. Spalili, skotobaza, и прочие.
This comment wasn’t rated yet 0
UFO just landed and posted this here
Разве одно и то же?
Вроде как тогда писали в саппорт, ВК сказал, что это не баг, а фича.
This comment wasn’t rated yet 0
Хочу обсудить по поводу частоты запросов.
«Со стороны клиента можно обращаться к методам API не чаще 3 раз в секунду.» (из доки ВК)
Т.е. твой скрипт с токеном может делать всегда только 3 запроса в сек, и это можно только распараллелить, но не ускорить. Причем не важно токен какого приложения (насколько популярного).

А истории про 35 в секунду — это серверные терки, в описанном случае невозмножно было использовать, я прав?
This comment wasn’t rated yet 0
Можно ускорить, если посылать запросы от имени нескольких пользователей или приложений, т.к. ограничение в 3 запроса относится к одному клиенту одного приложения.

А чтобы использовать силу 35 запросов, вам нужно иметь приложение с количеством участников, превышающих миллион (подробности в доках vk.com/dev/api_requests)
Total votes 1: ↑1 and ↓0 +1
Sign up to leave a comment.

Articles

Unlock dark mode

Your account

Sections

Information

Services

Support
© 2006–2024, Habr