Тут нашёл интересную особенность Telegram
Превью текстовыхв файлов, ни всегда ведёт на них самих
Создаём превью json файла
Для простоты, это будет файл -
И такой кусочек nginx конфига:
location = /hey.json {
ret
... показать большеТут нашёл интересную особенность Telegram
Превью текстовыхв файлов, ни всегда ведёт на них самих
Создаём превью json файла
Для простоты, это будет файл -
И такой кусочек nginx конфига:
location = /hey.json {
return 200 '{"error": false}';
}
Ничего необычного, просто json
Сгенерится такое превью:
Судя по логам в nginx:
149.154.161.249 - - [16/Mar/2025:20:20:50 +0000] "GET /hey.json HTTP/1.1" 200 16 "-" "TelegramBot (like TwitterBot)"
Телеграмм делает GET запрос, хотя, я бы для подобной операции делал HEAD для начала хотя бы, чтобы узнать какого размера файл например (но я не в Дубай и люди несколько умнее меня)
Кстати, по ссылке так же открывается json
Подменяем содержимое
Теперь надо чуть изменить конфиг nginx:
location = /hey.json {
alias /var/www/html/hey.json;
add_header Content-Type image/jpeg;
try_files $uri =404;
}
По ссылке будет другой контент, но превью при этом не изменится:
research.2big.cc/hey.jsonНемного мыслей по этому поводу
Ну это пурга какая-то в целом
Интересно сколько подобное превью живёт на кэширующих серверах
Я даже не знаю, писать ли о подобном в bugbounty Телеграмма или это ожидаемое поведение
