Про ферму, которая только что ударила по стакану на 880K $PX 🤥
12 декабря вечером ко мне в Discord стучится приятель со словами «Зайди в нотпиксель, проверь таски». Ну, почему бы и нет? Захожу, вижу, что есть таска где вся реклама идёт через AdsGram — популярный сервис, который, по идее, должен работать как часы.
Как работает AdsGram?
Ты отправляешь запрос: «Дайте мне рекламу».
Просматриваешь (или делаешь вид, что смотришь).
Сервис подтверждает рекламу у рекламодателя и выдаёт тебе плюшки (в данном случае PX).
Поначалу всё выглядело достаточно буднично: ну, посмотрел ролик, начислили монетки, вуаля. Стало интересно, можно ли накрутить эти просмотры.
Первые эксперименты
Мы начали крутить это чудо: открыли код, поглядели запросы. Сначала упёрлись в порог: примерно 60 реклам, и всё, дальше система нас блокирует. Окей.
Ротация прокси. Если мы меняем IP-адреc, то лимит снимается. Но полностью? Нет, оказалось, что ещё была проверка на Telegram ID и ограничение в 2 запроса в секунду (2 RPS).
Задержки. Если делать паузы между запросами, можно обойти лимит частично, но много ли мы так будем развлекаться?
В чём «фишка»?
Пока мы игрались с ротацией и задержками, возникла интересная мысль: «А что, если запрашивать рекламу, но не отправлять сразу запрос о просмотре?» Оказалось, что AdsGram присылает некий «шифрованный» пакет, который подтверждает наш просмотр. И если мы его аккуратненько сохраняем, то можем использовать потом.
Вдобавок выяснилось, что никакой серьёзной авторизации нет: достаточно телеграм-ID. Получается, можно «штамповать» рекламы, собирать эти «пакеты» в базу данных, а потом массово отсылать подтверждение о просмотре.
Результат
Так мы, по сути,
скрутили механизм и заспамили AdsGram левыми просмотрами. А самое забавное — всё это делалось без особых заморочек: никаких сложных ключей, капч или обязательной авторизации. Просто «дай рекламу», «сохрани данные», «отправь подтверждение» — и PX капают на счёт.
В данный момент я не знаю пофиксили ли это, шифрование в AdsGram - просто набор данный (uuid, ip, timestamp.. *и еще какие-то) обернутые в base64. Особо не разбирался, если кому-то будет интересно можете покрутить, думаю что еще можно открутить кучу рекламы.
