Угнал 2 аккаунта и RCE через Hikka-юзербота

По шодан-дорку на скрине можно найти открытые панельки юзербота, на которые возможно повесить свой аккаунт.

После привязки своего акка эксплуатируем юзербота: выгружаем сессии "соседей" в формате base64 через модуль для запуска кода, по сути имея шелл к серверу и возможность закрепиться на нем. Подробности в комментах.

Мне попался аккаунт бета тестера @dev_codwiz, которому я уже сообщил о проблеме и он закрыл доступ к своему аккаунту.

В общем, будьте внимательнее, становясь average telegram юзером 😎 @bbcode