Для примера представим бота который просто спинит кейсы. При выигрыше получаешь игровую валюту которая привязана к каждому зареганому в боте тг аккаунту. При проигрыше соответственно просто теряешь цену кейса.
Теперь к сути, после того как ты выигрываешь какое-то количество валюты под сообщением с ценой вылазит инлайн кнопка, к примеру "Получить 100 монет".
При нажатии кнопки выполняется ивент выдачи монеток на счет и кнопка пропадает.
Проверя пару кнопок на реальных ботах я заметил закономерность, что, если нажать на инлайн кнопку которая не пропадает можно вызвать ивент несколько раз.
Затем провел второй тест. Не забирал приз и после "обновления" бота на "рубины" вместо монеток еще раз прокрутил кейс и на этот раз выпал другой приз, более ценный, условно "100 рубинов" (представим что рубины в разы ценнее чем монетки).
И нажав на обе кнопки по очереди, старую и новую я увидел что мне два раза выдало 100 рубинов. То-есть обработчик продолжил использовать такой же callback код а ивент разрабы просто сменили с монеток на рубины причем даже не трогая количество.
Бот с монетками к сожалению вымышленный но я и не пытался передать информацию о боте, мне интересна именна эта возможная уязвимость.
Если предположить, что когда бот убирает кнопку он все равно продолжает обрабатывать ивент можно сделать вывод, что при каких то манипуляциях можно эмулировать нажатие этой кнопки, вкинуть в бота этот код обработки условно "give_treat100", дать в бот сигнал выдачи приза еще раз и еще, соответвенно получая бесконечные призы.
Учитывая мои слабые познания в программировании ботов мне интересно мнение людей более подкованных в данной теме которые хорошо шарят за работу кнопок в боте и может даже, если это и правда будет работать, подскажут способ как такое осуществить
И еще было бы вообще прелестно узнать способ получения кода из кнопки, допустим может какой нибуть альт клиент телеграма имеет подобный функционал для разработчиков или вроде того.
Теперь к сути, после того как ты выигрываешь какое-то количество валюты под сообщением с ценой вылазит инлайн кнопка, к примеру "Получить 100 монет".
При нажатии кнопки выполняется ивент выдачи монеток на счет и кнопка пропадает.
Проверя пару кнопок на реальных ботах я заметил закономерность, что, если нажать на инлайн кнопку которая не пропадает можно вызвать ивент несколько раз.
Затем провел второй тест. Не забирал приз и после "обновления" бота на "рубины" вместо монеток еще раз прокрутил кейс и на этот раз выпал другой приз, более ценный, условно "100 рубинов" (представим что рубины в разы ценнее чем монетки).
И нажав на обе кнопки по очереди, старую и новую я увидел что мне два раза выдало 100 рубинов. То-есть обработчик продолжил использовать такой же callback код а ивент разрабы просто сменили с монеток на рубины причем даже не трогая количество.
Бот с монетками к сожалению вымышленный но я и не пытался передать информацию о боте, мне интересна именна эта возможная уязвимость.
Если предположить, что когда бот убирает кнопку он все равно продолжает обрабатывать ивент можно сделать вывод, что при каких то манипуляциях можно эмулировать нажатие этой кнопки, вкинуть в бота этот код обработки условно "give_treat100", дать в бот сигнал выдачи приза еще раз и еще, соответвенно получая бесконечные призы.
Учитывая мои слабые познания в программировании ботов мне интересно мнение людей более подкованных в данной теме которые хорошо шарят за работу кнопок в боте и может даже, если это и правда будет работать, подскажут способ как такое осуществить
И еще было бы вообще прелестно узнать способ получения кода из кнопки, допустим может какой нибуть альт клиент телеграма имеет подобный функционал для разработчиков или вроде того.