u/Due-Moment-6417

Me causo curiosidad una cosa y es ¿Que haría yo sí encontrará una vulnerabilidad peligrosa en una aplicación grande?

Imaginen un caso hipotético donde están en una aplicación grande (digamos Facebook), y encuentran una forma de ejecutar código y acceder a las bases de datos y a la información de los usuarios.

Lo ideal es decirle a la aplicación para que la arreglen y ellos te paguen, el detalle es que tú deberías de cobrar una cantidad por la dificultad al encontrarla, lo peligroso que es, estamos hablando de que tenías información de sus bases de datos en tus manos. El punto es que no sé si lo que ellos te paguen, de verdad cubra el "costo" real, sin embargo si tú pones el precio, yo creo que ya se considera extorsión.

Ahora, también podrías mantenerlo como una Zero Day y usarla hasta que alguien más la descubra y la solucionen.

Entonces ustedes que harían?

Jajaja es broma, pero de verdad alguien ha entendido las regex o expresiones regulares (sin memorizarlas, hablo de saberlas usar y saber la teoría que hay detrás).

En mis aplicaciones las uso mucho, pero en lugar de armarla, busco expresiones ya armadas en foros, en varias ocasiones trate de aprenderlas e incluso tomar apuntes, pero en el tiempo desde que hacía eso, hasta que terminaba mi aplicación y volvía a usar una regex en otra aplicación, ya había olvidado lo que aprendí en su momento.

Para muchos un dato irrelevante, pero aquí lo dejo por si les sirve. (Alerta de mucho texto).

Contexto: Existen aplicaciones grandes como Reddit, Instagram, X, etc. que detectan a los usuarios para diferentes usos, Reddit por ejemplo lo usa para detectar evasión de baneo.

**¿**Cómo funciona?

Dependiendo de qué tan exigente sea la aplicación, puede ser con una o tres técnicas.

- HASH de Canvas: Una vez que entras a la aplicación, la aplicación le pide a tu dispositivo que dibuje y renderice una serie de cosas, estás pueden ser textos, gradientes de colores o incluso imágenes, esto porque pone a trabajar la tarjeta gráfica del dispositivo, y cada tarjeta trabaja diferente, el resultado del "dibujo" se convierte a hexadecimal (hash), de tal forma que un muy ligero cambio en el funcionamiento de una tarjeta gráfica a otra, cambia completamente el hash, este hash se almacena en una base de datos y es referenciado por tu usuario.

- Filtración de Web RTC: Mi técnica favorita. La aplicación engaña a tu dispositivo diciendole que inicie una video llamada, ya que las vídeo llamadas tienen que ser directas de usuario a usuario, por lo que tu dispositivo tiene que entregar su IP para que el otro usuario pueda comunicarse, ya que si pasa por una VPN, la conexión sería muy lenta. Pero en lugar de hacer una conexión con otro usuario, la aplicación le dice que se conecte a un canal simulado, el cual obtendrá y almacenará la verdadera IP de tu dispositivo, evadiendo por completo cualquier uso de VPN.

- Audio Fingerprinting: Similar al primero, la aplicación le dice a tu dispositivo que tiene que hacer un sonido con diferentes frecuencias para capturar en un hash la forma en la que el dispositivo procesa los sonidos.

A todo esto se le puede añadir la ubicación, los caracteres que puede renderizar tu dispositivo con la finalidad confirmar que si tú ubicación dice que estás en China pero tu dispositivo tiene configurado el teclado con otro idioma, pueda detectar que hay un VPN de por medio. También capturar las medidas de la pantalla de tu dispositivo, etc

Hace que cada usuario sea único.

Espero se les haga interesante, simplemente lo quería dejar aquí.

Siempre me la pasaba evitandolo hasta que empecé a usar NextJs más seguido y vi que ya trae Tailwind por defecto, afortunadamente sigue soportando el CSS nativo usando módulos, porque lo probé y todo mal, lo senti casi como tener que aprender de nuevo CSS, estuve usando corchetes "[]" en todo porque trabaja con medidas raras que obviamente podría dominar leyendo la documentación, pero vamos, honestamente tengo mejores cosas que aprender jajajaja

Hola, quisiera saber si a alguien le gustaría crear un negocio sobre desarrollo web, tengo conocimientos en muchas tecnologías y no es que no lo pueda hacer yo, sino que me gustaría estar acompañado en esto, siento que estando solo el progreso es demasiado lento.

Mis conocimientos abarcan tanto frontend cómo backend y algo de ciberseguridad.

Y uso estas tecnologías en el desarrollo web y móvile:

- HTML

- CSS

- JavaScript

- NodeJs

- Express

- React

- Typescript

- NextJs

- NestJs

- React Native

Ojo, si te interesa, honestamente solo me gustaría hacer colaboración con una persona y que tenga un aproximado a mis conocimientos, ya que no pretendo hacer todo o enseñar.

Por cierto, mi fuerte es el backend.