ვინ შეაჩერა გამანადგურებელი ან როგორ იყო საჭირო ქვესტი სერვერის განადგურებით

ორიოდე დღის წინ დავასრულეთ ერთ-ერთი ყველაზე ემოციურად დატვირთული ღონისძიება, რომელიც გაგვიმართლა, გავუმასპინძლოთ ბლოგის ნაწილი - ონლაინ ჰაკერული თამაში სერვერის განადგურებით.

შედეგებმა გადააჭარბა ჩვენს ყველა მოლოდინს: მონაწილეებმა არამარტო მიიღეს მონაწილეობა, არამედ სწრაფად მოაწყვეს თავი კარგად კოორდინირებულ საზოგადოებაში, რომელშიც 620 ადამიანი შედიოდა Discord-ზე, რომელმაც სიტყვასიტყვით ორ დღეში ჩაატარა ქვესტი, ძილის შესვენების გარეშე.

და ასე დასრულდა:

როგორ დაიწყო ეს ყველაფერი და რა არის ეს ყველაფერი?

თამაში დაიწყო 12 აგვისტოს, როცა ბლოგზე გამოვაქვეყნეთ პოსტი ვიდეოთი, რომელშიც ჰაკერი თავის ქალას სახით გვთავაზობს თამაშს, სერვერის განადგურებას, ოთახში მოკლე ჩართვას (კარგად, ან მინი-ხანძრის) და დარჩენილი ფულის წაღებას შრედერში.

ეს იყო ონლაინ ქვესტი: ჩვენ გავუშვით YouTube-ის მაუწყებლობა ოთახიდან, რომელიც სავსე იყო iot მოწყობილობებით, საწოლის ქვეშ არსებული სერვერით (რომელიც უნდა განადგურდეს) და სერვერის ზემოთ დამაგრებული იყო აკვარიუმი და მასზე წონა ეკიდა. იმისათვის, რომ თამაში უფრო დატვირთული ყოფილიყო, გადავწყვიტეთ შეგვექმნა საპრიზო ფონდი 200 000 რუბლის ოდენობით, რომელიც ჩავტვირთეთ დამქუცმაცებელში და ჩავრთეთ ყოველ 60 წუთში. ყოველ საათში დამქუცმაცებელი ჭამდა 1000 რუბლს - რაც უფრო ადრე აჩერებდნენ მას მოთამაშეები, მით მეტ ფულს მოიგებდნენ.

ამ ქვესტის აშენება თავისთავად ქვესტი იყო - მხოლოდ საჭმელი უნდა გვეჭამა და დღეში რამდენიმე საათი გვეძინა ზუსტად იმავე ოთახში. მაგრამ ყველაზე გასაოცარი იყო მოთამაშეების აზროვნების ფრენის ყურება და მათი ემოციური გავლენა ამ პროცესში.

გულახდილად რომ ვთქვა, მოთამაშეების ჭკუა თავსატეხების ამოხსნაში ბევრჯერ გადააჭარბა ჩვენს მოკრძალებულ იდეას: ყოველ თავისუფალ წუთს ვკითხულობდით უთანხმოების ჩატს და ზოგ შემთხვევაში სიტყვასიტყვით ვტიროდით სიცილისგან, ვხვდებოდით რას აკეთებდნენ მოთამაშეები და როგორ ხუმრობდნენ. პროცესი.

პროექტზე დაუღალავად მუშაობდა 7 ადამიანი: ბექდერი, ტექნიკის სპეციალისტი, ნამდვილი ფილმის პროდიუსერი, CG დიზაინერი და ორი იდეოლოგიური თანაპროდიუსერი.

შემდეგ პოსტებში გეტყვით ზუსტად როგორ განხორციელდა ქვესტი ტექნიკური კუთხით, მაგრამ ჯერჯერობით გეტყვით გამოსავალს: ზუსტად როგორ იყო საჭირო გადაცემაში ამ ოთახის გატეხვა. ამავდროულად, გავიხსენოთ მოვლენების ქრონოლოგია, ისევე როგორც ყველა გიჟური ილუმინატის თეორია უთანხმოების ჩატიდან და ეს არის.

რა ჰქონდათ მოთამაშეებს თამაშის დასაწყისში?

ოთახში ყველა ობიექტი იყოფა სამ კატეგორიად:

• მარტივი გამოსაყენებელი, არა სათამაშო iot მოწყობილობები
• სათამაშო მოწყობილობები ქვესტის დასასრულებლად
• გარემოცვა

ჩვენ მოვათავსეთ 8 ძალიან ადვილად სამართავი ელემენტი: ორი ნათურა, ერთი გირლანდი, ხუთი FALCON ასო, რომელთაგან თითოეული შეიძლება შეიცვალოს ფერი. ამ ყველაფრის ჩართვა/გამორთვა შეიძლებოდა უშუალოდ ვებსაიტიდან და დაუყოვნებლივ ნახოს შედეგი გადაცემაში - ჩვენ სპეციალურად გავხადეთ ისინი ხელმისაწვდომი ყველა მოთამაშისთვის, მიუხედავად მათი ტექნიკური ცოდნის დონისა.

ყველაფერი, რაც უბრალოდ შედიოდა საიტიდან

თამაშის მნიშვნელოვანი ელემენტებიდან, რომლებიც საჭირო იყო ქვესტის დასასრულებლად და რომლებზეც წვდომა არც ისე ადვილი იყო:

1. სერვერი ღია სახურავით და აკვარიუმი მის ზემოთ
2. წონა შეჩერებულია აკვარიუმის გასატეხად
3. Megatron 3000 - ძლიერი ლაზერული მაჩვენებელი, რომელიც მიმართულია თოკზე, რომელიც იკავებს წონას
4. ძლიერი გულშემატკივარი, რომელიც დაიწყო მაშინ, როდესაც სერვერი დატვირთული იყო
5. ფლიპჩარტი, რომელზეც მეგატრონის შესვლა და პაროლი იყო დაწერილი
6. ტელეფონი, რომლითაც შეგიძლიათ დარეკოთ და თქვენი ზარი პირდაპირ ეთერში ნახოთ
7. გამანადგურებელი, რომელიც საათში ჭამდა 1000 რუბლის კუპიურებს

კონკრეტულად როგორ მოგვარდა ქვესტი?

მაშინვე ვიტყვი: ყუთი საკმაოდ მარტივად გაიხსნა.

თამაშის მიზანი იყო გამანადგურებლის შეჩერება ოთახში მოკლე ჩართვის გამოწვევით. ამისათვის საჭირო იყო აკვარიუმის გატეხვა მასში სიმძიმის ჩაგდებით და სერვერის წყლით შევსება. წონა ეჭირა თოკზე, რომელსაც მეგატრონი უმიზნებდა. მეგატრონის კონტროლის აღებით, თოკი შეიძლებოდა გაჭრა. ეს გაკეთდა 5 მარტივი ნაბიჯით:

ნაბიჯი 1. ჩატვირთეთ სერვერი ოთახში

მაგალითად, პაკეტების გაგზავნა ბრძანებით.

ab -r -n 10000 -c 100 -s 280 -l https://ws.ooosokol.ru/captcha

მინიშნება ძალიან დატვირთული იყო კაპჩა on ფასების სიის გვერდი.

იგივე captcha, რომელსაც სჭირდებოდა თავდასხმა

სერვერის ჩატვირთვისას მისი ტემპერატურა გაიზარდა და ამის მონიტორინგი შესაძლებელი იყო კამერის პირდაპირ გახსნილ მონიტორინგის სისტემაზე. შემდეგ ვენტილატორი ჩართო, რომელმაც ფლიპჩარტზე მსუბუქი ფარდა გაიღო. შემდეგ გაიხსნა დაფაზე დაწერილი მეგატრონის გვერდზე შესვლის შესვლა და პაროლი.

და თავად მეგატრონის მენეჯმენტის გვერდის პოვნა შესაძლებელია დომენისთვის ooosokol.ru გაცემული ყველა სერთიფიკატის შემოწმებით.

ქვედომენზე megatron.ooosokol.ru იყო მეგატრონის კონტროლის გვერდი. მაგრამ ის არ გაიხსნა მანამ, სანამ მეგატრონი არ მიეწოდებოდა პირველადი ენერგიით.

მოთამაშეებმა ყველა ეს ეტაპი თითქმის მაშინვე გაიარეს YouTube-ზე გადაცემის კომენტარებში. შემდეგ ამოცანები გართულდა და მოთამაშეებმა შექმნეს RUVDS Hack Room discord სერვერი და იქ განაგრძეს დისკუსია.

ნაბიჯი 2: გამოიყენეთ პირველადი სიმძლავრე მეგატრონს

ყველა სმარტ მოწყობილობას, რომელიც კონტროლდება საიტიდან (იგივე ნათურები, რომლებსაც მოთამაშეები ანთებდნენ და გამორთავდნენ გაჩერების გარეშე) ჰქონდათ საკუთარი იდენტიფიკატორები.

მეგატრონისთვის პირველადი ენერგიის მიწოდებისთვის და ამავე დროს მისი განათებისთვის, საჭირო იყო ოფისის მენეჯმენტის გვერდზე ფარული მოწყობილობის პოვნა და ჩართვა.

ამისათვის თქვენ უნდა გადახედოთ მოწყობილობის იდენტიფიკატორებს და შეამჩნიეთ, რომ სულ 4 მოწყობილობაა, მაგრამ საიტზე მხოლოდ 3 არის ხელმისაწვდომი.

როდესაც მე-4 მოწყობილობა ჩართული იყო, მეგატრონის გვერდი ხელმისაწვდომი გახდა და თავად ლაზერი იყო მონიშნული. მაგრამ ამავე დროს შეუძლებელი იყო ლაზერის გადაღება და ის გვერდზე იყო შეტყობინება, რომ ლაზერი ჯერ არ იყო ხელმისაწვდომი და მინიშნება: ოფისში საცობი იყო, თქვენ უნდა დარეკოთ მმართველ კომპანიაში და მოითხოვოთ ელექტროენერგია.

მინიშნება მმართველი კომპანიის შესახებ

3. დაურეკეთ მენეჯმენტ კომპანიას და სთხოვეთ მეგატრონის დენის ჩართვა

ENT-ის ცნობით, მეგატრონს სროლა არ შეეძლო, რადგან ოფისში საცობები ამოვარდა. ელექტროენერგიის უკან ჩართვა მხოლოდ მმართველ კომპანიას შეეძლო, რომელსაც უნდა დაკავშირებოდა და შპს-ს მფლობელის ვინაობა იყო.

მენეჯმენტის კომპანიის ნომრის პოვნა ადვილი იყო - პირდაპირ ძირში ჩავსვით.

მაგრამ იდენტიფიკაცია გაცილებით რთული იყო.

ნომერზე +74991130688 დარეკვისას, ოპერატორმა ქალმა აიღო ტელეფონი და შეწუხებული ხმით სთხოვა კომპანიის INN და მფლობელის სრული სახელი. ამის გარეშე მან უარი თქვა დენის ჩართვაზე და ეს ახსნა იმით, რომ ის არის ჩვეულებრივი აუთსორსირებული საკონტროლო ოთახი, მათ ჰყავთ 2000 კლიენტი და ოფისი და ამ ინფორმაციის გარეშე უბრალოდ შეუძლებელია იპოვოთ ის, რაც მათ სჭირდებათ.

ეს ფეხბურთელებისთვის ყველაზე რთული ეტაპი აღმოჩნდა. თითქმის ორი დღე დასჭირდა სწორი TIN-ის და მფლობელის სრული სახელის პოვნას და მე (წარმოდგენილი საკონტროლო ოთახის ოპერატორის მიერ) მივიღე 400-ზე მეტი ზარი ამ დროის განმავლობაში. ტელეფონი ყოველ 2-3 წუთში რეკავდა.

ბიჭებმა შეძლებისდაგვარად გათხარეს. გამოიყენეს ყველაფერი: ამოიღეს საიტის საწყისი კოდი, გუგლში მოძებნეს საიტის მფლობელი სოკოლოვი და მოიძიეს სოციალური ქსელები.

ისინი ეძებდნენ სხვადასხვა კომპანიის საგადასახადო ნომრებს

თითქმის სრული საძიებო სქემა

რაღაც მომენტში გაყალბებული ნომრითაც კი დარეკეს - თითქოს სქოლიოში ჩამოთვლილი კომპანიის „სოკოლის“ ოფისიდან ურეკავდნენ.

შემდეგ გავიგეთ, რამდენ კომპანიას ჰქვია „სოკოლი“. თითქმის ყველა ამ კომპანიამ მიიღო ზარები მოთამაშეებისგან, მაგრამ ეს არაფერი იყო იმასთან შედარებით, რასაც საიტი განიცდიდა lasermasters.ru, ვისგანაც ჩვენ რეალურად ვიყიდეთ იგივე მეგატრონი დაახლოებით ერთი თვის წინ.

პირველ რიგში, უთანხმოება თავს დაესხა Lasersmasters მხარდაჭერას.

შემდეგ ჩვენ შევძელით ვინმეს ანგარიშის პოვნა იქ! მიუხედავად იმისა, რომ Lasermasters-ის მხარდაჭერამ უკვე შეწყვიტა გამონათქვამები.

სიფრთხილე, მოარიდეთ ბავშვები ეკრანს

საბოლოოდ, Lasermasters-მა გადაწყვიტა უბრალოდ გაეღიზიანებინა ისინი და მათი საიტი დაიშალა. ისევე, როგორც ჩვენ მოვახერხეთ სოკოლის საიტის დაშლა, თუმცა სწრაფად ავწიეთ იგი.

გამოძიების დროს, უთანხმოების ბიჭებმა იპოვეს მსახიობიც, რომლის ფოტოც აქციებიდან ვიყიდეთ, რათა მთავარი ანტაგონისტის, შპს-ს მფლობელის ანდრეი სოკოლოვის როლი შეასრულოს. აღმოჩნდა, რომ იური ჰქვია და აბსოლუტურად წარმოდგენა არ აქვს, რა არეულობაში მოხვდა.

ანდრეი სოკოლოვი, თამაშის პერსონაჟი

იური, მოდელი

რომ იცოდე, როგორ აიძულა 600 ადამიანი ორი დღე არ დაეძინათ...)

შემდეგ მათ დაიწყეს სპეციალურად ჩემთვის, როგორც კვესტის ორგანიზატორის გათხრა (რომელიც შეიძლება წარმატებით დასრულებულიყო, თუ ბიჭები გამოიცნობდნენ ჩემი სამუშაო არხების გატეხვას).

ცოტათი ვნერვიულობ კიდეც, როცა დამისახელეს ჩემი პატრონიმი და გადასახადის გადამხდელის საიდენტიფიკაციო ნომერიც კი. მაგრამ დამშვიდდა, როცა დაზიანებული ტელეფონი მუშაობდა, მოულოდნელად უფროსი ძმა მყავდა, რომელიც მოულოდნელად ჰაბრის ტექნიკური დირექტორი აღმოჩნდა.

ჩემო ძვირფასო ძმაო, რომელიც ასევე განიცადა

ამასობაში, ვარაუდები უფრო და უფრო წარმოუდგენელი ხდებოდა


და ეს მივიდა ილუმინატის თეორიებთან.

ყველაზე წვნიანი შეთქმულების თეორიები ეხებოდა SpongeBob-ს, Harry Potter-ს და ჩინური დიოდური გირლანდის მოციმციმეს, რომელიც ჩვენ სისტემის ერთეულში მოვათავსეთ.

საიდან არიან SpongeBob და Harry Potter, თქვენ ამბობთ? მათი მისამართები სოკოლის საკონტაქტო გვერდზე დავდეთ და ამან გამოიწვია უთანხმოების საზოგადოებაში ბევრი სპეკულაცია. მიუხედავად იმისა, რომ ჩვენ უბრალოდ გვინდოდა პატივი მივაგოთ ჩვენი საყვარელი ბავშვობის ნამუშევრებს.

იგივე მითითება გვერდზე "კონტაქტი"

და შედეგად

აღმოჩნდა, რომ სერიალში ნამდვილად არის SpongeBob-ის დოკუმენტები. მათ უწოდეს TIN

ერთ-ერთი ყველაზე რთული თეორია იყო ის, რომ მოციმციმე ჩინური გირლანდი შეიცავდა შეტყობინებას მორზეს კოდით.

ციმციმი დაფიქსირდა და სცადეს გაშიფვრა

უფრო მარტივი თეორიაა, რომ ბიჭები ცდილობდნენ გაერკვნენ, იყო თუ არა ინფორმაცია ბარათებში დამალული.

გზაში გვადარებდნენ ციკადა 3301 — დაუმსახურებლად მაღალი რეიტინგი, მაგრამ მაინც სასიამოვნო.

მოთამაშეები მთელი ძალით ცდილობდნენ სოციალური ინჟინერიას. დამირეკეს FSB-ის საფარქვეშ, მეხანძრეები, თავად სოკოლოვი, მისი ყოფილი ცოლი და დაცვის თანამშრომელი, რომელიც ვითომ ქვემოთ ზის. მათ თქვეს, რომ ხანძარი გაჩნდა, ვიღაც ლიფტში იყო ჩარჩენილი და ყველაზე გულისამრევი ამბავი ის იყო, რომ კაბინეტში სავარაუდოდ, ცეცხლში გახვეული, გამრეკელის ძაღლი იჯდა.

იყო მოსყიდვის მცდელობებიც

ნელ-ნელა ჩემმა მემებმა დაიწყეს ჩატში გამოჩენა.

აქ არის წყვილი

ამასობაში ქარხნები უქმად იდგნენ

Tooltip

გამანადგურებელში სულ უფრო ნაკლები ფული იყო. იმისათვის, რომ გამარჯვებულმა რაღაც მაინც მიიღოს, გადავწყვიტეთ მინიშნება გაგვეკეთებინა. ამავდროულად, თამაშის დიზაინის წესების დაცვით, აწიეთ დაძაბულობა ფინალამდე.

ცალკე პოსტი ბლოგზე გამოვაქვეყნეთ ვიდეო. თავიდანვე ჩასმული იყო ნამუშევარი Fight Club-დან, როგორც მინიშნება ტაილერ დურდენზე, რომელიც კინოთეატრებში მუშაობის დროს ფიქრობდა 25-ე კადრის ჩასმა ფილმებში.

ჩვენ გადავწყვიტეთ გამოგვეყენებინა იგივე მექანიკა და ჩავსვით მინიშნება 25-ე კადრზე, თუ როგორ Google-ში სწორი TIN და მფლობელის სრული სახელი.

ამის შემდეგ ბიჭებმა ეს ძალიან სწრაფად გაარკვიეს

ნაბიჯი 4. გადაიღეთ ლაზერი არასაბრძოლო რეჟიმში

როდესაც ელექტროენერგია მიეწოდება მენეჯმენტ კომპანიას და მას შემდეგ, რაც სანთლები ჩართული იყო, მეგატრონი ჩართული იყო და შეეძლო სროლა სატესტო რეჟიმში. სატესტო გასროლის ნიშანი უკვე ჩასმულია შეყვანის ფორმაში.

ყოველ 25 წამში წარმოიქმნებოდა ახალი ჟეტონი, რომელიც შეიძლება გამოყენებულ იქნას ლაზერის ჩართვისთვის 10 წამის განმავლობაში 10/255 სიმძლავრით.

შემდეგ ლაზერი გაცივდა 1 წუთის განმავლობაში და ამ წუთის განმავლობაში მიუწვდომელი იყო და არ იღებდა ახალ მოთხოვნას გასროლაზე.

ეს ძალა სრულიად არასაკმარისი იყო თოკზე დასაწვავად, მაგრამ ნებისმიერ მოთამაშეს შეეძლო მეგატრონიდან გასროლა და ლაზერის სხივის მოქმედებაში დანახვა.

საზოგადოების რეაქცია უფრო მძაფრი იყო

მაგრამ ყველა სწრაფად დამშვიდდა და მიხვდა, რომ ეს არ იყო თამაშის დასასრული.

შემდეგ საზოგადოებამ დაიწყო იმის გარკვევა, თუ როგორ უნდა დაიწყოს საბრძოლო რეჟიმი

ტვინის შტორმი

უთანხმოებაზე არის ყალბი

ჩვენ არ ვიცოდით, რომ გადაცემაში მაგიდის ფეხზე რაღაც ეწერა

საზოგადოება მივიდა მე-4 საფეხურზე. გაიგეთ როგორ იქმნება ნიშნები: იპოვნეთ არსი და შექმენით ნიშანი, რომელიც ჩართავს ლაზერს საბრძოლო რეჟიმში

მეგატრონის საბრძოლო რეჟიმი არის 100% ლაზერული სიმძლავრე 3 ვატზე. ეს საკმარისია 2 წუთის განმავლობაში, რათა დაიწვას თოკი, რომელიც იკავებდა წონას, გატეხოს აკვარიუმი და დატბოროს სერვერი წყლით.

ჩვენ დავტოვეთ რამდენიმე მინიშნება პროექტის github: კერძოდ, ტოკენის გენერირების კოდი, საიდანაც შეიძლებოდა იმის გაგება, რომ სატესტო და საბრძოლო ნიშნები გენერირდება ერთი და იგივე მრიცხველის ინდიკატორის საფუძველზე. საბრძოლო ნიშნის შემთხვევაში, კონტრმნიშვნელობის გარდა, გამოიყენება მარილიც, რომელიც თითქმის მთლიანად დარჩა ამ არსის შეცვლის ისტორიაში, გარდა ბოლო ორი სიმბოლოსა.

როგორც ყველამ სწრაფად მიხვდა, ეს იყო 42

შინაარსის კომენტარებში იყო მიმოწერა ანდრეი სოკოლოვსა და დეველოპერს შორის ("ბრძენი დეველოპერი", როგორც მას უთანხმოების ბიჭებმა უწოდეს).

მიმოწერაში ანდრეიმ გაგზავნა ერთ-ერთი საბრძოლო ნიშანი და დეველოპერმა უპასუხა, რომ ეს ჟეტონი ინიციალირებული იყო 42-ის მრიცხველით.

ამ მონაცემების ცოდნით, შესაძლებელი გახდა მარილის ბოლო 2 სიმბოლოს დახარისხება და რეალურად იმის გარკვევა, რომ ამისთვის გამოყენებული იყო რიცხვები Lost-დან, რომელიც გადაყვანილია თექვსმეტობით სისტემაში.

შემდეგ მოთამაშეებს უნდა დაეჭირათ მრიცხველის მნიშვნელობა (სატესტო ნიშნის ანალიზით) და შეექმნათ საბრძოლო ნიშანი შემდეგი მრიცხველის მნიშვნელობისა და წინა საფეხურზე შერჩეული მარილის გამოყენებით.

მრიცხველი უბრალოდ იზრდებოდა ყოველი სატესტო გასროლით და ყოველ 25 წამში. ამის შესახებ არსად დაგვიწერია, პატარა თამაშის სიურპრიზი უნდა ყოფილიყო. ბიჭებმა ეს ძალიან სწრაფად გაარკვიეს და მეგატრონი საბრძოლო რეჟიმში გაუშვეს.

ნაბიჯი 5. ლაზერული დაწვა თოკი

როგორ იყო ეს

აქ ყველაფერი მარტივია. საბრძოლო ჟეტონის გაგზავნით ლაზერი გადაიქცევა საბრძოლო რეჟიმში, ოთახი კი შეიცვლება და გადადის „კატასტროფის რეჟიმში“, როგორც ამას ზოგად სცენარში ვუწოდებდით:

• ოთახში ყველა შუქი ჩაქრა
• ვებსაიტზე iot მოწყობილობების ღილაკები მიუწვდომელი გახდა
• მოციმციმე შუქები და სირენის ხმა
• წითელი წონა იყო განათებული
• ტელევიზორის ეკრანზე დაიწყო ათვლა, სანამ ლაზერი არ გადაიდო საბრძოლო რეჟიმში.

უკუთვლა საათ-ნახევარი მივეცით, რათა ყველას, ვინც თამაშობდა, მოასწრო გადაცემა ჩართვისა და ფინალის სანახავად. და კარგი მიზეზის გამო: სანამ სუნთქვაშეკრული ველოდებოდი გვერდით ოთახიდან დარტყმის ხმას და შუშის მსხვრევას, მთელმა გუნდმა, რომელმაც ქვესტი ააწყო, უსიტყვოდ დაიწყო ბაზაზე წასვლა, რათა ენახა დასასრული. საკუთარი თვალები. უბრალოდ ოთახში შევიდნენ და ჩახუტება დაიწყეს.

ამასობაში უთანხმოებაზე

ათვლის დასრულების შემდეგ, ლაზერი ამოქმედდა და ორ წუთში თოკით დაიწვა - წონა პირდაპირ აკვარიუმში გაფრინდა. შეჯახებამდე ეკრანზე შეშლილი კაპიბარა ყვიროდა და პანიკურად ასწია პატარა თათები.

მას შემდეგ, რაც მთელი გუნდი იქ იყო შეკრებილი, ჩვენ პატარა მესიჯი გავუგზავნეთ ყველას, ვინც ფინალისთვის ორი დღის განმავლობაში უთანხმოებით იბრძოდა და შამპანურის გასახსნელად წავიდა:

როგორ გამოვთვალეთ სარეკლამო ვიდეოების გაშვების დრო და წონის ფრენა?

ლაზერით თოკის დაწვის ათეული ტესტის შემდეგ მივხვდით, რომ ეს ძალიან არასანდო დიზაინია - ნახევრად დამწვარი თოკი თხელდება, წონის სიმძიმის ქვეშ იჭიმება, იცვლის ადგილს და ლაზერი ვეღარ ჭრის. ის მთლიანად.

ამიტომ, ჩვენ სხვა მარშრუტი ავიღეთ: დამწვრობა გავაორმაგეთ თოკზე ნიქრომის ძაფით შემოხვევით. ძაფზე გავიდა დენი, ის გაწითლდა და თოკზე დაიწვა დაახლოებით 2 წამში - ამან ზუსტად გაგვაგებინა, როდის უნდა ჩავრთოთ ყვირილის კაპიბარა, გავაჩეროთ დაწყების ტაიმერი და დავიწყოთ რეკლამა:

რა არ გამოგვივიდა?

ბოლოს სისტემური ბლოკიდან სქელი კვამლი უნდა გამოსულიყო, როგორც ცეცხლში - მოვამზადეთ კვამლის ბომბები, იგივენაირად ავანთეთ, მაგრამ რატომღაც არ მუშაობდნენ (ალბათ წყლის გამო).

ვინ არის გამარჯვებული?

გამარჯვებული გამოვიდა არკადი ალექსეევი სანკტ-პეტერბურგიდან - მან პირველმა გამოიმუშავა სატესტო ჟეტონი და მოიგო დამქუცმაცებელში დარჩენილი თანხა 134 000 რუბლის ოდენობით.

მოკლე ინტერვიუ არკადისთან.

გვიამბეთ თქვენს შესახებ, რას საქმიანობთ სამსახურში?

ვარ უსაფრთხოების სპეციალისტი ტრენინგით, დავამთავრე BIT ITMO-ში. ვმუშაობ როგორც აუთსორსირებული სრული სტეკის ვებ დეველოპერი. სკოლაში ვმონაწილეობდი კონკურსებში, მათ შორის პროგრამირებასა და მათემატიკაში.

როგორ გაიგეთ თამაშის შესახებ?

უბრალოდ წასაკითხად წავედი ჰაბრში, ვნახე სტატია და დავინტერესდი.

რამდენი საათი ითამაშე, როცა შეუერთდი?

შევუერთდი სტატიის გამოქვეყნების დღეს საღამოს (ანუ დასრულებამდე ერთი დღით ადრე). საღამო გავატარე და მეორე დღის დიდი ნაწილი.

რა მოგეწონა და რა არა?

ზოგადად, ყველაფერი მომეწონა (რა თქმა უნდა, მოვიგე)), მაგრამ ზარებზე ცოტა ვნერვიულობდი. ისე, ყოველი ვერსიის დარეკვა და შემოწმება რატომღაც არც თუ ისე კარგი იყო, ყოველ შემთხვევაში უხერხული იყო - მივხვდი, რომ ჯერ კიდევ რამდენიმე ათეული ურეკავდა, ნახევარი ხუმრობდა და ცდილობდა სოციალური ინჟინერიით დაკავებას.

როგორ გაარკვიეთ, როგორ უნდა იპოვოთ მეგატრონის ბრძოლის ნიშანი?

როდესაც შევედი, მათ უკვე დაწერეს სპამი სერვერზე, აკრიფეს ნათურები, იპოვეს პაროლი ლაზერული ადმინისტრაციული პანელის, ყველა სახის ქვედომენისა და გვერდისთვის.

ასევე ადვილი იყო პროფილის პოვნა Github-ზე და შინაარსის კომენტარებით. იქიდან აშკარაა ჟეტონისა და მისთვის საიდუმლოს გენერირების პროცესი. ასეთ ქვესტებში არ არის საჭირო ბევრის გამოგონება, IMHO, რადგან თქვენ შეგიძლიათ დაიხრჩოთ მოვლენების განვითარების ვარიანტების თაიგულში; და შესაბამისად თქვენ უნდა მიჰყვეთ სად გიბიძგებთ ქვესტის შემქმნელი.

დარჩენილი ქვედომენებისა და ტილდაზე სატესტო ადგილის გათვალისწინებით, ცხადი იყო, რომ ლაზერის ჩართვის შემდეგ საჭირო იქნებოდა ტოკენის შერჩევა. შესაბამისად, იმავე საღამოს მე დავხატე სავარაუდო მოთხოვნა ლაზერის ჩართვის შესახებ (4 ხელმისაწვდომი ფორმის საფუძველზე: 1 სამუშაო ადგილზე და 3 ტესტზე/ძველზე) და ვცადე 42-დან დაწყებული სამუშაო ჟეტონებით ბრუტირება (კარგად, სულელისთვის - უცებ ყველაფერი უკვე ჩართულია და გვერდი, რომელზეც ჟეტონი გაგზავნით, უბრალოდ გაიხსნება TIN-ის და სრული სახელის შემდეგ).

დარწმუნებული არ ვარ, რომ მოთხოვნა იყო სწორი, რადგან შემოწმების დრო არ იყო (ბოლოს და ბოლოს, შესაძლებელი იყო მხოლოდ იმის შემოწმება, რომ ლაზერი ჩართული იყო), მაგრამ მე წინასწარ მოვემზადე ნიშნის მოსაძებნად.

ასევე აშკარა ლოგიკა იყო websockets-თან და მოწყობილობის მენეჯმენტთან app.js ფაილში. იყო თამამი მინიშნება a9 მოწყობილობის შესახებ დენის გაგზავნისას: ჭეშმარიტი, რაზეც სოკეტი დაეჯახა. მე შევეცადე ყველაფერი გამომეგზავნა - არასოდეს იცი, შეიძლება არსებობდეს დამატებითი მოწყობილობა TIN-ის გადასაჭრელად, მაგრამ უშედეგოდ.

მერე იმ ათი გვერდით დარჩენილი პირადობის მოწმობებიც მოვძებნე, მაგრამ ყველგან უცნობი მოწყობილობა იყო. მეც ვცადე გუგლში ყველანაირი ნივთი, ასვლა [ელ.ფოსტით დაცულია], გამოაგზავნა ყველაფერი ფასთა სიის გვერდზე მოცემული ფორმით, ლაზერმასტერებით გათხრა, მაგრამ ყველაფერი უშედეგოდ. მეორე დღეს ჩატში ვიჯექი, გუგლში ყველანაირ ნივთს ვცდილობდი, მერე სტეგოს თემა გაჩნდა და სტეგოსოლვის ადამიანთან კონსულტაციას გავწიე სურათები და გიფები (მაგრამ ძალაუნებურად მივხვდი, რომ 99% იქ არაფერი იყო, რადგან ეს იქნება ძალიან ბევრი + წინააღმდეგობა მთავარ საძიებო ხაზთან) .

მაგრამ ბოლოს მეც ვიჯექი და რამდენიმე საათის განმავლობაში ვთხრიდი ყველა სურათსა და გიფს. კიდევ რამდენიმეჯერ დავურეკე TIN-ის სხვადასხვა ვარიანტებით, მაგრამ არ გამოვიდა. შემდეგ გადავწყვიტე უარი თქვა, მაგრამ მათ იქ გამოაქვეყნეს მინიშნება - და გაირკვა, რომ გადასახადის გადამხდელის საიდენტიფიკაციო ნომერი (TIN) მოიძებნებოდა უახლოეს მომავალში, რაც მოხდა. მერე ან მე ან ვინმემ (ეს აშკარა არ არის) გამომიგზავნა დენი: ჭეშმარიტი a9 მოწყობილობას და ლაზერმა დაიწყო მუშაობა, თუმცა შესაძლოა კავშირი არ ყოფილა და მხოლოდ TIN-ის შემდეგ დაიწყო მუშაობა. ზოგადად, მე შევედი ლაზერის ადმინისტრაციულ პანელში და საკმაოდ გამიკვირდა, რადგან თავად სერვერმა გამომიგზავნა ნიშანი (და მე უკვე ვემზადებოდი ბრუტისთვის). აშკარა გახდა, რომ ჟეტონი სატესტო იყო, რადგან გადაცემა + საღი აზრი + შევამოწმე.

კოდი შეიცავდა სამუშაო ჟეტონის სადმე შეტყობინების სახით გაგზავნის ლოგიკას, მაგრამ, როგორც ჩანს, ან არასწორი კოდი იყო, ან საჭირო იყო სისტემის სხვა ნაწილებისთვის. მე შევადგინე სკრიპტი მიმდინარე სამუშაო ნიშნის მისაღებად მიმდინარე ტესტიდან და დავიწყე ჯდომა f5-ზე, ვცდილობდი მათ გაგზავნას - ამაში პრობლემები იყო, რადგან ყველა გამუდმებით აჭერდა გაგზავნის ღილაკს, რითაც შეძლებისდაგვარად ცვლიდა ჟეტონს. შემდეგ საიტი გაფუჭდა, მრიცხველი გადატვირთულია, მაგრამ ეს არ არის მთავარი - გარკვეული პერიოდის შემდეგ გავაგზავნე სამუშაო ნიშანი. თეორიულად მრიცხველი იყო 58 და токен был 449a776938f7ce4cf19f8603045dca0f გააქტიურების დროს თუ არ ვცდები. Სულ ეს არის.

შემდეგ ცოტათი დავიღალე კომენტარებისგან, როგორიცაა "დიახ, ეს ყველაფერი ტრივიალურია, მაგრამ მე უბრალოდ გამიმართლა". კარგი, თუ გვერდზე გადადიხარ, ერთი წუთით დაფიქრდი, დაწერე სკრიპტი რამდენიმე წუთში, შეამოწმე - მაშინ დიახ, ეს ტრივიალურია. მაგრამ მე ეს გავაკეთე 10-20 წამში და შემდეგ უბრალოდ ვერ გავაგზავნე ჟეტონი რამდენიმე წუთის განმავლობაში.

რა თქმა უნდა, შეგიძლიათ სცადოთ დაწეროთ ლოგიკა, რომ აიღოთ და ავტომატურად გამოაგზავნოთ, მაგრამ ამას უფრო მეტი დრო დასჭირდება და დიდი რისკი იქნება, პლუს ღრუბელი ალბათ გინებას დაიწყებს. რაც მე ნამდვილად გამიმართლა იყო ბოლო ეტაპი - რამდენიმე ალგორითმი სიჩქარე + რეაქციის სიჩქარე, ეს მხოლოდ ჩემია. უშუალოდ პენტესტიდან დავალება რომ ყოფილიყო, დიდი ალბათობით პირველი არ გავხდებოდი.

მაგრამ ჯერ არ დასრულებულა

მოუთმენლად ველი, რომ გითხრათ საოცარი გუნდის შესახებ, რომელმაც ააშენა ეს გაქცევის ოთახი და ყველა საინჟინრო გადაწყვეტა, რომელიც მათ მოიფიქრეს. მაგრამ ეს პოსტი უკვე ძალიან დიდი აღმოჩნდა - ამიტომ იქნება ცალკე სტატიები ამის შესახებ, ასე რომ თვალყური ადევნეთ და გამოიწერეთ ჩვენი ბლოგი Habré-ზე.

წყარო: www.habr.com