Как я участвовал в bug bounty от Xiaomi и что мне за это было

[@Dreyk]

не совсем понял, что случилось с техподдержкой по поводу вывода денег?

[@evil_me]

Чтобы им что-нибудь написать, нужно ввести китайскую капчу.

[@Dreyk]

надо было уже им заодно и капчу поломать :)

[@Miketsukami]

Зря вы сдались. Можно же вводить иероглифы средствами рукописного ввода.

[@Kobalt_x]

Чтобы получить распознаваемые иероглифы в таком вводе, нужно знать хотя бы порядок радикалов. Иначе получается что-то вообще нераспознаваемое

[@Miketsukami]

Есть системы ввода иероглифов, у которых порядок опционален.
У меня на смартфоне словарь кандзи с отключаемым порядком радикалов, к примеру.

[@Kobalt_x]

Одно дело словарь. Другое дело как писать. Тот же яркси распознает при неправильном порядке на порядок хуже, гуглотранслейт вообще почти не распознает.

[@Iqorek]

Лайфхак, на гуглотрасляторе можно нарисовать иероглифы и оно их неплохо распознает

Вот так оно выглядит

[@plMex]

… а гуглопереводчик на телефоне переводит по фото, причём там можно пальцем выбирать требуемый кусок и он сразу показывает перевод.

Вот примерно так

<

[@inchernar]

В этом посте расскажу о том, как мне это удалось, что за это было и почему китайские сервисы — зло.

Правильно ли я понял, зло оно потому что оператор накосячил и у них не очень удобный фидбек?

[@evil_me]

В том числе.
Еще они, вроде как, позиционируются как глобальная программа, но в целом юзер-френдли только для китайцев.

[@inchernar]

думаю, что это всё решится со временем

[@evil_me]

Потихоньку появляется перевод на английский у основных разделов, но формы ввода пока китайские.
Хотя я просто надеюсь, что мне не придется больше пользоваться этим сервисом.

[@GeorgWarden]

Зачем китайцам делать что-то для кого-то, кроме китайцев? Китай — это как параллельная вселенная, только рядом

[@evil_me]

Полагаю затем, что они уже давно делают вещи для всего мира?)

[@GeorgWarden]

Они делают для себя, а все почему-то думают, что для всего мира

[@JekaMas]

Истина! Сталкиваюсь с алибаба — так все и есть. Китай только начинает открывать для себя чудной внешний мир.

[@VioletGiraffe]

Пришлось выковыривать иероглифы из нужных мест страницы через просмотр HTML-кода и переводить вручную.

Для этого в мобильном Google Translate есть перевод по фото и режим дополненной реальности :)

[@evil_me]

Вы знаете, я пробовал какие-то программы в процессе. Но все они работали настолько плохо, что я прям расстроился и решил действовать дедовским методом :)

[@stepmex]

Для этого уже давно есть решение: chrome.google.com/webstore/detail/google-translate/aapbdbdomjkkjkaonfhkkikfgjllcleb
Выделяешь текст и он автоматически переводится с любого языка.

[@evil_me]

Спасибо за ответ. Только я не могу придумать, как выделить текст в выпадающем списке. Подскажете?

[@NoOne]

Использовать Google Translate и камеру на телефоне :)
Я так удалял китайский антивирус с ПК знакомых.

[@stepmex]

Я понимаю что это не панацея. И с выпадающими списками она поможет только в комплекте с кодом страницы.
Данное расширение убирает необходимость ходить и копировать текст в переводчик.
Чем экономит кучу времени.

[@evil_me]

Так в хроме уже есть встроенный переводчик по правому клику на странице.

[@DC_Offset]

Можно открыть список и нажать Ctrl+A :) Не знаю, везде ли сработает, но на хабре работает.

[@evil_me]

То расширение выше умеет переводить весьма ограниченный объем выделенного текста. Не думаю, что «вся страница» — рабочий кейс для него.

[@stepmex]

Выделяете текст и тыкаете в иконку приложения, тогда переводить любой объём.
«Локальный» перевод ограничен по длине.

[@nidalee]

Да, конечно. Открываете список, включаете приложение на телефоне, делаете фото и пальцем проводите по нужному фрагменту. Иероглифы выделяются и переводятся. Можно выделить часть предложения, если символы разбиты на группы, либо сразу все — без разницы.
Я так сотни раз переводил интерфейсы японских VN. Жаль, только, что нет десктопного приложения, которому можно просто скормить скриншот. Разве что с эмуляторами… Развлекаться.

[@nidalee]

Пардон, вы про расширение, а я про приложение.

[@Artemonim]

Пробовать не приходилось, но Яндекс.Переводчик должен уметь

[@gmikhail94]

+1 голос за мобильное приложение Google Translate. Работает даже с выпадающими списками: imgur.com/a/HhCo4

[@sergof]

[@awesome_walker]

Ну тут инструкции хотя бы не на китайском языке :)

[@krak]

В какой версии MIOI был баг и в какой исправили?

[@evil_me]

MIUI 8 Global 7.3.30
Исправили в следующем апдейте, который прилетал по воздуху, но извините, я не помню номер.

[@ket4upstar]

Что еще раз подтверждает что пока не тыкнешь их носом никто не признает ошибку, и изначально будут пытаться «отмазаться» стандартным ответом. Работал в поддержке, знаю суть работы. Везде одинаково.

[@evil_me]

Так, вроде, не только в поддержке делают :)

[@pyrk2142]

Китайские Bug Bounty иногда странные (в том числе, и из-за языка), но мне они обычно платили. Правда иногда любят не признавать уязвимость проблемой и перестать на нее реагировать.

А вот другая история, как я участвовал в Bug Bounty от Telegram: полгода назад отправил несколько уязвимостей (разные проблемы в приложениях), один раз ответили, что «разработчики посмотрят», после этого они не отвечают на мои сообщения вообще. И не посмотрели, уязвимости все еще живы.

[@evil_me]

Так проблемы в приложениях или уязвимости?
Не думаю, что если бы там были критические дыры или что-то похожее, они отложили бы это в долгий ящик.

Напишите об этом.

[@pyrk2142]

По классификации OWASP это уязвимости, другие компании подобные вещи закрывают. Хотел написать на этой неделе, но не успел. Надеюсь, что напишу на следующей.

[@Isis]

В твиттере реагируют быстро, даже сам СЕО. Только вот потом награды не будет :)

[@awesome_walker]

Я подумал, что вам не только не досталась награда, но еще и что-то очень плохое вам сделали за обнаружение бага.

Как я участвовал в bug bounty от Xiaomi и что мне за это было

[@w9w]

«кликбейтный» заголовок)

[@ket4upstar]

Да, заголовок заинтриговал.

[@esudnik]

Мда,… думаю что здесь даже потраченное время на заполнении различных бюрократических анкет себя не оправдало при такой награде. На черном рынке вы бы однозначно больше получили за находку такой серьезной уязвимости.

[@evil_me]

Поделитесь контактами черного рынка?)

[@esudnik]

вот активные покупатели: www.nsa.gov

[@evil_me]

Поверю вам на слово :)

[@ChiefPilot]

Спасибо Вам за статью! Понравилось описание процесса общения — как будто фантастический рассказ прочёл про общение с инопланетянами. :)

[@evil_me]

Спасибо за комментарий!
Как верно заметили выше, это немного другой мир, в котором нам еще разбираться и разбираться :)

[@mr_tron]

5000 рублей. Меньше 100 баксов за уязвимость на повышение привилегий. Имхо это даже круче, чем вконтактик, который дал всего 3000 баксов за возможность залогиниться любым пользователем. Вот и участвуй после этого в официальных баг баунти. Какой-нить zerodium вполне возможно заплатил бы на порядок больше. Судя по прайсу zerodium.com/program.html можно расчитывать до 15000$ (хотя непосредственно за такую багу врядли).

[@Psychosynthesis]

Ну кстати зря вы лампу взяли =)

У меня такая лампа была привязана к аккаунту, и приложение стояло на старом мобильнике. Когда поменял трубку, поставил на новую приложение, вошёл в аккаунт, сбросил лампу и попытался привязать её к новому приложению. Собственно, на этом моменте лампа перестала быть умной и перестала привязываться куда-либо. Тех.поддержка вообще меня проигнорила с этой проблемой. Так что теперь у меня тупая светодиодная лампа за 1500.

[@evil_me]

Наверное, вы сделали что-то не так.
Прошел ту же процедуру (менял телефон практически в самом начале эксплуатации) — полет нормальный.

[@Psychosynthesis]

Вы извините, но если в простейшей процедуре что-то можно сделать не так, значит что-то не так с процедурой.

Если устройство не обеспечивает достаточной повторяемости своих функций в процессе эксплуатации — значит устройство мусор.

Ну и, к слову, там ошибиться-то особо негде — отвязал в старом приложении, сбросил, привязал к новому. Где тут можно ошибиться?

[@evil_me]

Сервер, например, не тот выбрать.

[@Psychosynthesis]

А почему на них разные данные? Меня как пользователя почему вообще должно заботить какой там сервер где находится? Неужели как-то синхронизацию настроить было нельзя?

В любом случае, это не имеет значения — я пробовал оба. Даже пробовал новый акк заводить и с него тоже пробовал оба сервера.

[@evil_me]

Я вам точно не отвечу на эти вопросы.

А серверов там восемь. От них (и соответственно, локали) зависит то, как будет выглядеть Mi Home, и какие устройства будут доступны для подключения.

[@Psychosynthesis]

В моём случае речь про YeeLight, и серверов там таки всего два.

А на вопросы вообще никто отвечать не собирается — поддержка успешно игнорит сообщения на двух языках.