क्या पैसे के लिए विज्ञापन देखने के लिए मोबाइल एप्लिकेशन पर पैसा बनाना यथार्थवादी है?

एक लेख सूची पर दिए गए अनुप्रयोगों में से एक का विश्लेषण है। आवेदन में भेद्यता का पता चलने के तुरंत बाद लेख लिखा गया था। डेवलपर ने एक रिपोर्ट प्राप्त की और समस्या के अस्तित्व की पुष्टि की, इसे जल्द ही ठीक करने का वादा किया। फिलहाल, दोनों प्लेटफार्मों पर एक एप्लिकेशन अपडेट जारी किया गया है।

कई वर्षों के लिए, AppNana (AppJoy) लोकप्रियता की लहर पर रहा है, क्योंकि वे बिना किसी एसएमएस के, मुफ्त में iOS और Android के लिए एप्लिकेशन स्टोर से भुगतान किए गए एप्लिकेशन डाउनलोड करने का अवसर प्रदान करते हैं। पकड़ क्या है, आप पूछते हैं? कहाँ छिपे हैं नुकसान? सब कुछ बहुत सरल है: आप अपना समय विज्ञापनों को देखने, बाएं-हाथ, बिना लिंक किए गए एप्लिकेशन को सीधे लिंक के माध्यम से स्थापित करने में बिताते हैं, और मोबाइल फोन के लिए आधा दर्जन विज्ञापन एग्रीगेटर्स के साथ अपनी व्यक्तिगत जानकारी भी साझा करते हैं, उन सभी जानकारी को पास करते हैं जिनकी व्यक्तिगत पहुंच है (व्यक्तिगत सहित) ईमेल)।

सब कुछ स्पष्ट होने लगता है। नि: शुल्क पनीर केवल एक चूहादान में है, एक शुल्क भी है और यह इनाम के अनुरूप नहीं है। सटीक होने के लिए, "निकासी" के लिए न्यूनतम राशि 45,000 नैनो (घरेलू मुद्रा, 45,000 नैनो = $ 2) है, 10,400 की पूंजी शुरू करने से, दैनिक सक्रिय उपयोगकर्ताओं को 400 नानक प्राप्त होते हैं (यदि वे पिछले दिन में एक या एक से 4,000 नैनो इकट्ठा करने में सक्षम थे) , एक "कार्य" का भुगतान 20 (सबसे अधिक) से 450 नैनो (जबकि केवल एक ऐसा कार्य था) किया जाता है, जबकि उपयोगकर्ता रेफरल (आमंत्रित और आमंत्रित किए गए) के माध्यम से रेफरल (2 500 नैनो) के माध्यम से सबसे बड़ी राशि प्राप्त करते हैं।

अब यह साफ हो रहा है। एसएमएस के बिना मुफ्त में एंटीवायरस डाउनलोड करने के लिए, लेकिन हर किसी को और हर चीज को आमंत्रित करने के लिए आवेदन का उपयोग नहीं किया जाता है। यह पता चला है कि सभी उपयोगकर्ता (Google Play मीट्रिक द्वारा 500,000 - 1,000,000) केवल वही करते हैं जो वे कई खाते बनाते हैं और बदले में खुद को निमंत्रण भेजते हैं? इतना आसान नहीं है, मैक्स गुआन (सैन फ्रांसिस्को में रहने वाले एक चीनी डेवलपर) ने पहले से यह सोचा था। रेफरल कोड का उपयोग करने के लिए, जो 2,500 नैनो लाएगा, आपको सबसे पहले 15,000 नैनो अर्जित करना होगा, जो अपने आप में एक उपलब्धि है।

ठीक है, अकेले कमाने के "कानूनी" तरीकों को छोड़ दें। दूसरी तरफ से कोशिश करते हैं। Android के लिए Fiddler2 और परदे के पीछे स्थापित करें। हम AppNana के लिए परदे के पीछे कॉन्फ़िगर करते हैं और अनुरोधों को देखते हैं। और वे बहुत दिलचस्प निकले। उदाहरण के लिए, यह एक:
POST to appnana2.mapiz.com/api/nanaer_login ईमेल = कोई व्यक्ति 40example.com और पासवर्ड = 1234567890 और स्रोत = Android और android_id = abc
SUCCESS वापस आ जाएगी और आपको सत्र आईडी के साथ एक कुकी दी जाएगी। ऐसा लगता है कि सब कुछ सही है? लेकिन यह स्क्रिप्ट अकेले अनुरोधों की संख्या को सीमित नहीं करती है। ब्रूट फोर्स प्रदान की। दुर्भाग्य से, यदि आप सभी ईमेल और पासवर्ड संयोजनों की जांच करते हैं, तो सर्वर बस बंद हो जाएगा। यद्यपि यह पता चला है कि अगर android_id एक अंतरिक्ष वर्ण है, तो यह पांच सौ त्रुटि के साथ उतर सकता है ...
आइए ईमेल चयन की समस्या को हल करने का प्रयास करें। ऐसा करने के लिए, हमें निम्नलिखित प्रश्न चाहिए:

GET appnana2.mapiz.com/api/get_nanaer_info/?email=someone%40xample.com

इनपुट_इनविटेशन (स्वीकार किए गए रेफरल की संख्या) b paypal_email (AppNana पेपल से पैसे निकालते समय), रिडीम_टाइम्स (कितनी बार इनाम मिला), login_times (कितनी बार इनपुट किया गया था), बिटकॉइन_डैड्रेस (बिटकॉइन के लिए आउटपुट में उपयोग किया जाता है) के साथ उत्तर पूरी सूची होगी। offer_nanas ("अर्जित" नैनस की संख्या), register_ip (पंजीकरण के दौरान इस्तेमाल किया जाने वाला आईपी), डिवाइस (उन सभी उपकरणों की एक सूची जिसमें से लॉगिन बनाया गया था, साथ में उनके मैक पते और आईओएस पहचानकर्ता), ईमेल (पंजीकरण के दौरान पता), lastlogin_ip (अंतिम) आईपी), नानस (खाता शेष), प्रेषित (मात्रा) निमंत्रण "रेफरल" द्वारा भेजा गया), gift_email (उपहार कोड भेजने के लिए अतिरिक्त पता)। और प्रासंगिक क्षेत्रों की एक जोड़ी नहीं।

हमारे पास क्या है? एक एपीआई जो प्राधिकरण के बिना सभी उपयोगकर्ता डेटा जारी करता है। वह हमारी मदद कैसे करेगा? यह AppNana हैक करने के लिए पर्याप्त है और हम तुरंत उन लोगों की लगभग पूरी सूची प्राप्त करेंगे जो रेफरल के माध्यम से यथासंभव कई नैनो एकत्र करने की कोशिश कर रहे हैं। आप ब्लॉग प्रविष्टियां डेढ़ हजार टिप्पणियों के साथ पा सकते हैं, जिनमें से प्रत्येक में एक रेफरल कोड और ... लगभग सभी एक Google खाते से बंधे हैं, क्योंकि ब्लॉग ब्लॉगर पर चलता है। हमारा कार्य कई बार सरल हो जाता है: हम Google के जारी होने को रोकते हैं, हम सभी संदर्भ कोड (एक पत्र, फिर 8 अंक) के संदर्भ पाते हैं, अगला हम संचार के लिए एक Google प्रोफ़ाइल या ईमेल के लिंक की तलाश करते हैं। कुछ घंटों में, इस तरह के एक पार्सर उपर्युक्त स्क्रिप्ट पर जानवर बल के हमलों के लिए एक उच्च-गुणवत्ता वाला शब्दकोश बनाने में सक्षम होंगे।

अब हमारे पास अपने व्यक्तिगत खातों के शेष के साथ सैकड़ों या हजारों उपयोगकर्ताओं का एक डेटाबेस है। हम क्या कर सकते हैं? वह सब है। बिल्कुल सब कुछ। आप कहेंगे कि यह असंभव है, लेकिन मैंने अभी तक सभी कार्ड का खुलासा नहीं किया है! अगला, हमें दो और API चाहिए:

Appnana2.mapiz.com/api/invite_verify पर पोस्ट करें
Appnana2.mapiz.com/api/redeem पर पोस्ट करें

सबसे पहले, यह रेफरल कोड को सक्रिय करता है और खाते में 2,500 नान चार्ज करता है। दूसरा, बिटकॉइन या पेपाल में नैनो प्रदर्शित करता है। दोनों प्राधिकरण के बिना काम करते हैं।

सबसे पहले, आप उन खातों के जोड़े बनाएंगे जिनके खाते में 15,000 से अधिक नान हैं। फिर हम खातों से जुड़े रेफरल कोड लेते हैं और सभी खातों के लिए उन्हें नकद देते हैं। जब सब कुछ तैयार हो जाता है, तो यह माना जा सकता है कि 1000 कोड और संबंधित खातों के साथ, आप 999,000 वैध लिंक प्राप्त कर सकते हैं। यह देखते हुए कि कई लोग रेफरल पुरस्कार प्राप्त करने के लिए दूसरों के कोड का सक्रिय रूप से उपयोग करते हैं, यह माना जा सकता है कि 25% कनेक्शन पहले ही उपयोग किए जा चुके हैं, इससे खाते में लगभग 750 नए कनेक्शन निकल जाते हैं। प्रत्येक लिंक सिस्टम में 5,000 नैनो लाता है। हमारे लिए उपलब्ध सभी रेफरल कोड (750,000 अनुरोध) को कैश करके, हम पूरे सिस्टम में वितरित किए गए 3.75 बिलियन नैनो प्राप्त करते हैं।

यदि हम सबसे महंगे इनाम ($ 100 PayPal के लिए 1,200,000 नैनो) लेते हैं, तो हम $ 312,500 उत्पन्न करेंगे या यदि हम बेनामी पसंद करते हैं और भुगतान नहीं करने के लिए तैयार हैं, तो हम बिटकॉइन में सभी पैसे निकाल सकते हैं, जिसके परिणामस्वरूप हमें बिटकॉइन के लिए $ 267.857 देना होगा। रूपांतरण का दिन। यह पहले से उपलब्ध उपयोगकर्ता शेष को ध्यान में नहीं रखता है। हमें बस इतना करना है कि अपने PayPal अकाउंट या Bitcoin वॉलेट में पैसे ट्रांसफर करने के लिए Redeem API का उपयोग करें।

बेशक, यह संभावना नहीं है कि एक डेवलपर के साथ एक स्टार्टअप, जो उन समर्थन (लिंक्डइन प्रोफ़ाइल से जानकारी) का प्रमुख भी है, के पास $ 312,500 के साथ एक पेपल खाता या एक बिटकॉइन वॉलेट है, लेकिन अगर पूरी प्रक्रिया स्वचालित है और मजबूत संदेह नहीं बढ़ा है, तो आप आसानी से एक गोल राशि निकाल सकते हैं। ।

सबसे दिलचस्प, यह सेवा के सार्वजनिक प्रस्ताव का प्रत्यक्ष उल्लंघन नहीं है। इसमें क्लॉज़ 8 ए शामिल है जो उपयोगकर्ताओं की व्यक्तिगत जानकारी के संग्रह और भंडारण पर प्रतिबंध लगाता है, जबकि इसके विश्लेषण के बिना, बाद में भंडारण की अनुमति नहीं है, आप व्यक्तिगत जानकारी को भी अनदेखा कर सकते हैं, और केवल उपयोगकर्ता नाम, खाता शेष और रेफरल कोड को बचा सकते हैं। क्लॉज 8k सुरक्षा प्रणाली के साथ हस्तक्षेप को प्रतिबंधित करता है, जिसमें इसे अक्षम करना शामिल है, इस मामले में कोई सुरक्षा प्रणाली नहीं है, जैसे कि, प्राधिकरण के बिना एपीआई का उपयोग करना, मैं इस बिंदु का उल्लंघन नहीं करता हूं। प्वाइंट 8r सबसे व्यापक है। यह स्वचालित सुरक्षा के उपयोग को प्रतिबंधित करता है ताकि उनकी सुरक्षा प्रणाली और / या robots.txt फ़ाइल (वे या तो नहीं है) को दरकिनार कर सेवा तक पहुँचने के लिए, और AppNana अवसंरचना में अनधिकृत पहुँच के लिए सॉफ़्टवेयर के संशोधित संस्करणों को संशोधित और उपयोग किया जा सके। यहां यह अभी भी सरल है, सॉफ्टवेयर संशोधन की आवश्यकता नहीं है, और API अनुरोध किसी भी तरह से robots.txt फ़ाइल द्वारा बंद नहीं किए गए हैं।

मैंने १.५,००० से अधिक नानक के खाते से ९ ०,००० नैन निकाले हैं। फिर मैंने एक तकनीकी सहायता पत्र भेजा जिसमें मुझे लेनदेन को रद्द करने और उपयोगकर्ता को धन वापस करने के लिए कहा गया, या यदि लेनदेन पहले से ही पूरा हो गया था, तो उपयोगकर्ता को कम से कम धनराशि लौटाएं। अगली सुबह मुझे खुद मैक्स (कंपनी के मालिक) से एक प्रतिक्रिया मिली कि वह पहले से ही जानता है (!) समस्या के बारे में और इसे हल किया जा रहा है। दिलचस्प बात यह है कि यह एपीआई कम से कम मई 2013 से काम कर रहा है। एक लाख लोगों तक के आवेदन में। विज्ञापन राजस्व को सभी लागतों को कवर करना चाहिए और अभी भी एक प्रोग्रामर के लिए पर्याप्त होना चाहिए जो सभी छेदों को बंद कर देता है।

सौभाग्य से, या दुर्भाग्य से, यह 20 का एकमात्र अनुप्रयोग है जो मैंने Google Play शीर्ष से स्थापित किया था जिसमें एक स्पष्ट भेद्यता थी। स्थापित अनुप्रयोगों में से लगभग आधे एक "इंजन" पर बनाए गए थे। अनुरोध कार्बन कॉपी की तरह थे, ठीक है, क्रमशः, उन्हें सत्र कुंजी द्वारा संरक्षित किया गया था और थोड़े से हस्तक्षेप के लिए आवश्यक सौंदर्यीकरण की आवश्यकता थी। कुछ एप्लिकेशन प्रदर्शन के लिए विज्ञापन डाउनलोड करने में सक्षम नहीं थे। एक और, जाहिरा तौर पर, पैसे का भुगतान करने के लिए नहीं जा रहा था, क्योंकि शेष राशि SharedPrefrences में रखी गई थी, और केवल विज्ञापनदाताओं की सूची प्राप्त करने के लिए अनुरोध भेजे गए थे।