Как найти ошибки безопасности и заработать на этом деньги

2 сентября 2023 в 12:55

На фоне ситуации с промокодами, вспомнил как я недавно тоже пытался заработать на ошибках Тинькофф {$TCS} {$TCBR}. У различных крупных компаний есть BugBounty программы. Это значит вы находите ошибки связанные с безопасностью и чем они серьезнее, тем больше вам заплатят денег. Практика общемировая и относительно недавно в РФ тоже стали появляться компании не гнушающиеся платить за свои ошибки. Так вот в ТИ я давно знал про одну недокументированную возможность, не буду описывать какую. Знал давно, багу как минимум было 3-4 года. Вспомнив, что у Тинькофф есть BugBounty программа я решил им отправить этот баг и получить вознаграждение. Сформировал отчет(скрин 1), отправил им и стал ждать. Пока мы вместе фигурально ждем от них ответа, опишу что за баг, но без подробностей. В ТИ можно сформировать особую ссылку для получения данных, которая заставит упасть их сервис с ошибкой 504 (скрин 2). Что это за ошибка? Представим условно кассы в Пятерочке. Люди во всех очередях это запросы к серверам(кассам). Кассиры работают достаточно быстро и очередь равномерно везде продвигается. Вот только находится клиент(запрос), который может заставить кассира выполнять свою работы слишком долго, то за сигаретами сбегает, то будет искать Галю чтобы сделать отмену, то проверять что на этот йогурт действительно была другая цена. Может какой-то клиент и сможет уговорить посчитать его с единственной сливой, а они пока проверят сколько стоит йогурт, но общая производительность кассы падает, и в какой-то момент очередь встает - 504. Если таких клиентов будет много и в короткий промежуток времени, то всё упадет, а ведь на этих кассах(серверах) возможно не только продукты пробивают, но еще и посылки выдают, то есть сломается сразу несколько функций. О! Прошел месяц и мне таки ответили! Ура! Что же там? Смотрите на скрине 3. Обидно? Обидно. А самое обидное, что этому дубликату...барабанная дробь...год! Зачем исправлять ошибки, которые по моему скромному мнению исправляются за несколько дней. Ну ладно - месяц, с учетом согласований и анализа. Но помимо этого теряется смысл поиска ошибок, ведь они банально могут не исправляться и ты зря потратишь время. Такие вот дела.

Еще 3

3 639,6 ₽

−37,62%

Нравится

Не является индивидуальной инвестиционной рекомендацией

Читайте также

26 ноября 2024

Транснефть: стабильная монополия

22 ноября 2024

Валютные облигации: как выбирать?

18 комментариев

Kati_ins

2 сентября 2023 в 13:01

Какая «неожиданная» развязка) Зря месяц ждали)

Нравится

Jackreachy

2 сентября 2023 в 13:03

Если бы Вы нашли подобную проблему на сайтах Эпла или Майкрософта, Вас бы озолотили. Но в Тиньке, "о ней уже было известно" и что-то мне подсказывает, что если бы не Ваше обращение, проблема бы так и осталась неизвестной)

Нравится

Djletigre

2 сентября 2023 в 13:03

Это шарага @Tinkoff_Group

Нравится

Tinvest

2 сентября 2023 в 13:08

@Jackreachy так если им верить, они как минимум уже год знают об этой проблеме, мне прислали скрин аналогичного отчета за сентябрь прошлого года. То есть исправлять не спешат, но в теории ошибку кто-то может эксплуатировать и определить, что это злоумышленник будет сложно, т.к. запросы формально вполне себе легитимные. А про озолотить вряд ли, у ошибки потенциал не настолько большой) По их программе поощрения тянул максимум на тысяч 35) Добавил стоимости в пост.

Нравится

Jackreachy

2 сентября 2023 в 13:13

@Tinvest видимо не спешили решать, усердно над промокодами работали🤡 Про "озолотили" не знал, но думаю без подарка бы не оставили, не то, что тиньк

Нравится

Авторы стратегий

Их сделки копируют тысячи инвесторов