Здравствуй, дорогой дневник.

Если ты помнишь, то примерно с месяц назад писал я про один сайт с водой.

Интересная ситуация. Заказывал воду, с доставкой с 12 до 15. В 16 уже почти лыжи смазываю чтобы бежать по своим, совершенно точно важным делам, а воды всё нет. Пишу в бота, мол, заказывал, а что-то нет. Мне или дома сидеть и ждать или на завтра перенесем и я побежал? А пока ждал ответа увидел ссылку формата /orders/item.php?id=888888 .

Любопытно.

Взял и заменил 888888 на 888887. А там чужой заказ. Имя, фамилия, адрес без квартиры, почта и телефон. Вообще никак не защищено. Прям даже не смазано.

Оформил я на одном сайте, где люди накручивают просмотры и подписки за денюшку заявку. Зарегистрироваться (спросит телефон), подтвердить и прислать мне логин и пароль. И буквально за какие-то 30 рублей получил акк на чужой телефон. Вошел скопировал куки, накидал скрипт, что проходится по заказам и сохраняет это добро в табличку. И забыл уже что-то.

Вчера снова водицы заказывал и пишу им письмо, дескать, смотрите, вот так делаю и вижу адрес Насти, что живет на улице и с номером, а потом еще делаю и там уже Ольга, с улицы и с номером. Некрасиво (это раз) и слишком доступно для гэкающих сотрудников сбербанка (это два), поправьте уж. Отправил, чуток подумал, а есть ли какие-то юридические способы заставить их закрыть эту дыру, но не прям сильно долго думал.

А сегодня в обед, уже звонят, говорят, спасибо, что такой молодец, что нашел, еще больший, что сказал, воды тебе мажорной дадим забесплатново к следующему заказу, а дыру уже закрыли.

Я проверил - закрыли.

От такая, короткая история. Теперь в резюме еще буду писать, что я белый хацкер и пинтестер.