Жесткий феил года в продукте Искру взломали и чувак, наверное, сам не ожидал, что сломает её, ахах.

Короче, в системе есть разграничение прав. У админов команд больше чем у обычного юзера. Недавно я засветил админ-команды, когда показывал как работает механика намёков. Оч внимательные юзеры смекнули, что можно попробовать от лица обычного пользователя ввести админские команды ручками, проверка на дурака, вдруг разработчик их просто скрыл.

Я всегда дополнительно обрабатываю все новые команды проверкой «если не админ, доступ ограничен». НО В ЭТОТ РАЗ ЗАБЫЛ ПРО КОМАНДУ /tools. Появилась возможность отправить сообщения парам. Сюр в том, что именно этот функционал работал плохо из-за масштабных правок последнего релиза. Там не было батчинга и параллелизма для отправки сообщений. Отправка ушла в таймаут из-за большого количества пар, чего не ожидал чел, который получил доступ к команде)

Добавлю скилл агенту, чтобы все новые админ-команды автоматически закрывались проверкой.

Мне понравилась шутка со стэктрейсом (кто бы ты не был, я оценил, спасибо, что сообщение было относительно безобидным), в нём были подсказки, что это фейк. Закиньте ради интереса в нейронку, почитайте что напишет) Я почти сразу понял, в чём дело, потому что пользователь не мог получить «голую» ошибку! Если где-то в коде был пропущен try/catch, ошибка в любом случае обработается и придёт на мой акк для анализа, чтобы позже я смог закрыть дыру. Нигде в коде нет ситуации, когда ошибка отправляется пользователю! Только человекочитаемые системные и бизнесовые.

Самое-самое смешное и одновременно печальное в том, что Макс не знал, что функционал отправки сообщений нужно допилить под батчинг. Он попробовал отправить сообщение с извинениями и снова переломал искру к чертям)) Представьте, вам присылают извинения, которые зацикливаются и отправляются снова и снова. Я был не у компа, помог перезапуск бота через сборку.

Итог Понесли репутационные риски Потеряли 15 активных пар :( Потрачен вечер на доработку бота вместо разработки IOS приложения

Выводы – Теперь буду внимательнее с тем, что публикую (был уверен на 💯, что дыр нет) – Хорошо, что почти всё было закрыто и ничего не утекло – С одной стороны, плохо что взломали, но с другой нашли уязвимости и открыто заявили о них (более грамотное решение – просто шпионить) – Было получено столько фидбэка, что лишний раз подтверждает – комьюнити сила 💪 Спасибо!

В этом посте были ссылки, но мы их удалили по правилам Сетки