evil_me Sep 28 2017 at 09:14

Как я участвовал в bug bounty от Xiaomi и что мне за это было

5 min

37K

Information Security*IT systems testing*Mobile applications testing*

+75

Comments 60

Dreyk Sep 28 2017 at 09:57

не совсем понял, что случилось с техподдержкой по поводу вывода денег?

evil_me Sep 28 2017 at 09:58

Чтобы им что-нибудь написать, нужно ввести китайскую капчу.

Dreyk Sep 28 2017 at 10:02

надо было уже им заодно и капчу поломать :)

Miketsukami Sep 28 2017 at 13:16

Зря вы сдались. Можно же вводить иероглифы средствами рукописного ввода.

Kobalt_x Sep 28 2017 at 13:23

Чтобы получить распознаваемые иероглифы в таком вводе, нужно знать хотя бы порядок радикалов. Иначе получается что-то вообще нераспознаваемое

Miketsukami Sep 28 2017 at 13:26

Есть системы ввода иероглифов, у которых порядок опционален.
У меня на смартфоне словарь кандзи с отключаемым порядком радикалов, к примеру.

Kobalt_x Jun 25 2018 at 17:47

Одно дело словарь. Другое дело как писать. Тот же яркси распознает при неправильном порядке на порядок хуже, гуглотранслейт вообще почти не распознает.

Iqorek Sep 28 2017 at 16:24

Лайфхак, на гуглотрасляторе можно нарисовать иероглифы и оно их неплохо распознает

Вот так оно выглядит

plMex Jun 25 2018 at 14:02

… а гуглопереводчик на телефоне переводит по фото, причём там можно пальцем выбирать требуемый кусок и он сразу показывает перевод.

Вот примерно так

inchernar Sep 28 2017 at 09:57

В этом посте расскажу о том, как мне это удалось, что за это было и почему китайские сервисы — зло.

Правильно ли я понял, зло оно потому что оператор накосячил и у них не очень удобный фидбек?

evil_me Sep 28 2017 at 10:00

В том числе.
Еще они, вроде как, позиционируются как глобальная программа, но в целом юзер-френдли только для китайцев.

inchernar Sep 28 2017 at 10:17

думаю, что это всё решится со временем

evil_me Sep 28 2017 at 13:36

Потихоньку появляется перевод на английский у основных разделов, но формы ввода пока китайские.
Хотя я просто надеюсь, что мне не придется больше пользоваться этим сервисом.

GeorgWarden Sep 28 2017 at 10:00

Зачем китайцам делать что-то для кого-то, кроме китайцев? Китай — это как параллельная вселенная, только рядом

evil_me Sep 28 2017 at 10:02

Полагаю затем, что они уже давно делают вещи для всего мира?)

GeorgWarden Sep 28 2017 at 10:06

Они делают для себя, а все почему-то думают, что для всего мира

JekaMas Sep 28 2017 at 10:22

Истина! Сталкиваюсь с алибаба — так все и есть. Китай только начинает открывать для себя чудной внешний мир.

VioletGiraffe Sep 28 2017 at 10:08

Пришлось выковыривать иероглифы из нужных мест страницы через просмотр HTML-кода и переводить вручную.

Для этого в мобильном Google Translate есть перевод по фото и режим дополненной реальности :)

evil_me Sep 28 2017 at 10:10

Вы знаете, я пробовал какие-то программы в процессе. Но все они работали настолько плохо, что я прям расстроился и решил действовать дедовским методом :)

stepmex Sep 28 2017 at 10:57

Для этого уже давно есть решение: chrome.google.com/webstore/detail/google-translate/aapbdbdomjkkjkaonfhkkikfgjllcleb
Выделяешь текст и он автоматически переводится с любого языка.

evil_me Sep 28 2017 at 11:00

Спасибо за ответ. Только я не могу придумать, как выделить текст в выпадающем списке. Подскажете?

NoOne Sep 28 2017 at 11:21

Использовать Google Translate и камеру на телефоне :)
Я так удалял китайский антивирус с ПК знакомых.

stepmex Sep 28 2017 at 13:07

Я понимаю что это не панацея. И с выпадающими списками она поможет только в комплекте с кодом страницы.
Данное расширение убирает необходимость ходить и копировать текст в переводчик.
Чем экономит кучу времени.

evil_me Sep 28 2017 at 13:14

Так в хроме уже есть встроенный переводчик по правому клику на странице.

DC_Offset Sep 28 2017 at 15:03

Можно открыть список и нажать Ctrl+A :) Не знаю, везде ли сработает, но на хабре работает.

evil_me Sep 28 2017 at 15:04

То расширение выше умеет переводить весьма ограниченный объем выделенного текста. Не думаю, что «вся страница» — рабочий кейс для него.

stepmex Sep 28 2017 at 17:55

Выделяете текст и тыкаете в иконку приложения, тогда переводить любой объём.
«Локальный» перевод ограничен по длине.

nidalee Oct 2 2017 at 09:21

Да, конечно. Открываете список, включаете приложение на телефоне, делаете фото и пальцем проводите по нужному фрагменту. Иероглифы выделяются и переводятся. Можно выделить часть предложения, если символы разбиты на группы, либо сразу все — без разницы.
Я так сотни раз переводил интерфейсы японских VN. Жаль, только, что нет десктопного приложения, которому можно просто скормить скриншот. Разве что с эмуляторами… Развлекаться.

nidalee Oct 2 2017 at 12:45

Пардон, вы про расширение, а я про приложение.

Artemonim Jun 25 2018 at 14:03

Пробовать не приходилось, но Яндекс.Переводчик должен уметь

gmikhail94 Sep 28 2017 at 15:15

+1 голос за мобильное приложение Google Translate. Работает даже с выпадающими списками: imgur.com/a/HhCo4

sergof Sep 28 2017 at 10:49

UFO landed and left these words here

awesome_walker Sep 29 2017 at 13:14

Ну тут инструкции хотя бы не на китайском языке :)

krak Sep 28 2017 at 10:53

В какой версии MIOI был баг и в какой исправили?

evil_me Sep 28 2017 at 10:57

MIUI 8 Global 7.3.30
Исправили в следующем апдейте, который прилетал по воздуху, но извините, я не помню номер.

ket4upstar Sep 28 2017 at 11:32

Что еще раз подтверждает что пока не тыкнешь их носом никто не признает ошибку, и изначально будут пытаться «отмазаться» стандартным ответом. Работал в поддержке, знаю суть работы. Везде одинаково.

evil_me Sep 28 2017 at 13:27

Так, вроде, не только в поддержке делают :)

pyrk2142 Sep 28 2017 at 13:09

Китайские Bug Bounty иногда странные (в том числе, и из-за языка), но мне они обычно платили. Правда иногда любят не признавать уязвимость проблемой и перестать на нее реагировать.

А вот другая история, как я участвовал в Bug Bounty от Telegram: полгода назад отправил несколько уязвимостей (разные проблемы в приложениях), один раз ответили, что «разработчики посмотрят», после этого они не отвечают на мои сообщения вообще. И не посмотрели, уязвимости все еще живы.

evil_me Sep 28 2017 at 13:28

Так проблемы в приложениях или уязвимости?
Не думаю, что если бы там были критические дыры или что-то похожее, они отложили бы это в долгий ящик.

Напишите об этом.

pyrk2142 Sep 28 2017 at 13:42

По классификации OWASP это уязвимости, другие компании подобные вещи закрывают. Хотел написать на этой неделе, но не успел. Надеюсь, что напишу на следующей.

Isis Sep 28 2017 at 20:16

В твиттере реагируют быстро, даже сам СЕО. Только вот потом награды не будет :)

awesome_walker Sep 28 2017 at 13:45

Я подумал, что вам не только не досталась награда, но еще и что-то очень плохое вам сделали за обнаружение бага.

Как я участвовал в bug bounty от Xiaomi и что мне за это было

w9w Sep 29 2017 at 16:18

«кликбейтный» заголовок)

ket4upstar Sep 28 2017 at 16:06

Да, заголовок заинтриговал.

esudnik Sep 28 2017 at 17:02

Мда,… думаю что здесь даже потраченное время на заполнении различных бюрократических анкет себя не оправдало при такой награде. На черном рынке вы бы однозначно больше получили за находку такой серьезной уязвимости.

evil_me Sep 28 2017 at 17:05

Поделитесь контактами черного рынка?)

esudnik Sep 28 2017 at 17:14

вот активные покупатели: www.nsa.gov

evil_me Sep 28 2017 at 17:21

Поверю вам на слово :)

ChiefPilot Sep 28 2017 at 17:17

Спасибо Вам за статью! Понравилось описание процесса общения — как будто фантастический рассказ прочёл про общение с инопланетянами. :)

evil_me Sep 28 2017 at 17:20

Спасибо за комментарий!
Как верно заметили выше, это немного другой мир, в котором нам еще разбираться и разбираться :)

mr_tron Sep 29 2017 at 12:03

5000 рублей. Меньше 100 баксов за уязвимость на повышение привилегий. Имхо это даже круче, чем вконтактик, который дал всего 3000 баксов за возможность залогиниться любым пользователем. Вот и участвуй после этого в официальных баг баунти. Какой-нить zerodium вполне возможно заплатил бы на порядок больше. Судя по прайсу zerodium.com/program.html можно расчитывать до 15000$ (хотя непосредственно за такую багу врядли).

UFO landed and left these words here

Psychosynthesis Oct 2 2017 at 21:44

Ну кстати зря вы лампу взяли =)

У меня такая лампа была привязана к аккаунту, и приложение стояло на старом мобильнике. Когда поменял трубку, поставил на новую приложение, вошёл в аккаунт, сбросил лампу и попытался привязать её к новому приложению. Собственно, на этом моменте лампа перестала быть умной и перестала привязываться куда-либо. Тех.поддержка вообще меня проигнорила с этой проблемой. Так что теперь у меня тупая светодиодная лампа за 1500.

evil_me Oct 3 2017 at 15:35

Наверное, вы сделали что-то не так.
Прошел ту же процедуру (менял телефон практически в самом начале эксплуатации) — полет нормальный.

Psychosynthesis Oct 3 2017 at 17:46

Вы извините, но если в простейшей процедуре что-то можно сделать не так, значит что-то не так с процедурой.

Если устройство не обеспечивает достаточной повторяемости своих функций в процессе эксплуатации — значит устройство мусор.

Ну и, к слову, там ошибиться-то особо негде — отвязал в старом приложении, сбросил, привязал к новому. Где тут можно ошибиться?

evil_me Oct 4 2017 at 13:44

Сервер, например, не тот выбрать.

Psychosynthesis Oct 4 2017 at 13:52

А почему на них разные данные? Меня как пользователя почему вообще должно заботить какой там сервер где находится? Неужели как-то синхронизацию настроить было нельзя?

В любом случае, это не имеет значения — я пробовал оба. Даже пробовал новый акк заводить и с него тоже пробовал оба сервера.

evil_me Oct 4 2017 at 14:03

Я вам точно не отвечу на эти вопросы.

А серверов там восемь. От них (и соответственно, локали) зависит то, как будет выглядеть Mi Home, и какие устройства будут доступны для подключения.

Psychosynthesis Oct 4 2017 at 14:15

В моём случае речь про YeeLight, и серверов там таки всего два.

А на вопросы вообще никто отвечать не собирается — поддержка успешно игнорит сообщения на двух языках.