В нашем телеграмм блоге мы пообещали написать статью о том, какие есть уязвимости у телеграмм ботов и как от них защищаться. Один из таких способов оказался открытый вид данных кнопки, отвечающая за ответ на анонимное сообщение. Наша статья будет о том, как нам разбили сердце и о том, как обычная кнопка может стать главным фактором деанона.
Наше великое возможно. Или первый взгляд на бота
Одним прекрасным днём на улице светило солнце. Мы зашли в телеграмм и видим сообщение от бота анонимных вопросов с таким тексом: ты тут? я тя люблю 3 года, и я очень надеюсь что ты не узнаешь моё имя, я пишу в анонимку полную фигню)).
Мы решили что это наш шанс на великое возможно и мы решили выяснить, кто нам написал это сообщение!
Начнём с самого начала. При старте бота, нам предоставляют подобную ссылку: https://t.me/anonimnye_voprosy_bot?start=1537461322. Мы имеем опыт в разработке телеграмм ботов, так что сделали вывод, что это наш id. У каждого пользователя телеграмма он уникален. И его невозможно подделать, конечно если вы не Паша Дуров. Единственный вывод из этого - его можно подменить. Но при условии, что пользователь, чьё id вы ввели, пользуется ботом. Ничего особенного нам это не даёт. Давайте изучим бота получше.
Изучение бота
Что-ж, приступим к самому интересному - изучению бота изнутри. При каждом "анонимном" вопросе бот присылает нам подобное сообщение:
Интересные статьи
Интересные статьи
