We twist the balance of God's eyes for any user / ban him or collect data from coolhackers

Речь пойдет о том как я нашел баг на накрутку баланса в боте глаза бога

В глазе бога, как известно, можно "размножать ботов", что значит можно отправлять свой произвольный текст и кнопки с кастомной callback data
Начал рассматривать команды бота, и, наткнувшись на каллбэк дату подтверждения расширенного поиска телефона - увидел следующее

​

callback

"reply_markup": { "_": "InlineKeyboardMarkup", "inline_keyboard": {[/SIZE][/CENTER][/SIZE][/CENTER][/SIZE][/CENTER]

[CENTER][SIZE=4]
[CENTER][SIZE=4]
[CENTER][SIZE=4]
[CENTER] "_": "InlineKeyboardButton",
"text": "✅ Я ознакомился и согласен",
"callback_data": "PAYMENT|mobileinfo|15|7900123456"
}
]
]
}

Code

    "reply_markup": {        "_": "InlineKeyboardMarkup",        "inline_keyboard":                             {[/SIZE][/CENTER][/SIZE][/CENTER][/SIZE][/CENTER]



[CENTER][SIZE=4]

[CENTER][SIZE=4]

[CENTER][SIZE=4]

[CENTER]                    "_": "InlineKeyboardButton",

                    "text": "✅ Я ознакомился и согласен",

                    "callback_data": "PAYMENT|mobileinfo|15|7900123456"

                }

            ]

        ]

    }

[/CENTER]

где наглядно было понятно, что аргумент после mobileinfo означает стоимость поиска.

Решил изменить его на отрицательное число и это сработало -
PAYMENT|mobileinfo|-15|79000123456

Был баланс 500, "оплатил" поиск, стало 515.

Далее нужно было думать что делать с багом, так как и не сольешь сразу в паблик, но и в тех поддержку писать не хочется без гарантии выплаты. Поэтому я написал напрямую создателю. Спустя пару десятков минут наших разговоров все свелось к тому, что он специально создал баг и "это обычный сбор данных кулхацкеров, что ты", а также "этим хакерам ничего не будет" , на что конечно же я поверил .​

Spoiler

На следующий день вижу это в боте

"этим хакерам ничего не будет"
В итоге опять на следующий день я попросил разбан, был разбанен и даром получил год подписки + сотню на баланс.
Проверил на новом аккаунте накрутку еще раз - как итог сразу получил бан

Делаем выводы

Оставлю код для фактического бана любого юзера, который нажмёт кнопку в вашем боте (текст может быть произвольным)
​

Все действия вы делаете на свой страх и риск.
Автор темы ни к чему не принуждает и не несёт ответственности за ваши аккаунты.​