Ребята, у кого-то ещё после обновления 1.12 значение event_1 стало считать только стоимость апрувов? Стоимость холдов и отклонов перестала учитываться, в результате чего показатель E.Revenue перестал правильно считаться.
Upd.: Нашли причину и обезвредили.
[QUOTE="egalexey;137256"]Ребята, у кого-то ещё после обновления 1.12 значение event_1 стало считать только стоимость апрувов? Стоимость холдов и отклонов перестала учитываться, в результате чего показатель E.Revenue перестал правильно считаться.
Upd.: Нашли причину и обезвредили.[/QUOTE]
Бро, в чем причина была? Саппорт какую-то дичь несет, говорит мы не знаем, что сейчас означают наши ивенты :13:
UltroMix:Бро, в чем причина была?
Да, с саппортом долго разбирались, тестировали и выяснили причину, фикс такой:
Зайти во вкладку Affiliate Networks - Edit на нужной партнерке - Включить галочкой Status-payout relation - и удалить все правила по статусам - потом галочку убрать и нажать Сохранить. После этого event_1 по новым лидам будет правильно учитываться. А те ивенты которые уже посчитались неправильно, проапдейтил во вкладке Conversions.
Получается статусы апрува/холдов/отклона ранее оформляли правилами в Status-payout relation (холдам и отклонам присваивали 0, а апруву сумму выплаты), а потом отключили (после добавления нового функционала автоматического учета апрува/холдов/отклона), а новое обновление их включило, а так как я ранее холды и отклоны правилами в Status-payout relation обнулял, то обновление включило эти правила и event_1, отвечающий за учет суммы холдов и отлонов стал обнулятся.
Спасибо большое, помогло! :18:
Рома, приветствую!
Возник острый вопрос, хотим "слезть" с кейтаро, ибо они так часто лагают, что сил больше нет за всем этим наблюдать. Да и очень хочется работать с конкурентным трекером, где активно развивается функционал. Поэтому однозначно рассматриваем бином. Напишу коротко о том, что нам необходимо, для того чтобы убедиться, подходит ли он под наши нужны.
Мы работаем с товаркой. Соответственно трафик льем на свои пре/ленды.
От сюда возникает необходимость в использовании click API для проброса кликов в трекер (клики нужно будет передавать как при входе на лендинг, так и на оффер), чтобы можно было подключить внешнюю клоаку. А также через click API необходимо пробрасывать кастомные параметры (как числовые, так и текстовые), порой они необходимы для настройки фильтрации трафика, но в большинстве случае для передачи этих параметров во внешнем постбеке, так как нужно передавать данных в свою crm. Всего требуется 15 кастомных параметров, 5 из которых нужно выделить под субиды, остальные важны для полноценной работы crm.
Есть ли у вас такой функционал?
И еще, наверное глупый вопрос, но обычно мы в кабинете ПП указываем ссылку на наш обработчик постбеков, где полученные статусы приводятся к общему значению. Например, когда ПП шлет статус wait, waiting или pending, мы его меняем на lead и потом отправляем постбек в трекер. Поэтому хотелось бы еще уточнить – есть ли у вас такая же возможность, чтобы мы могли отправлять постбеки в бином посредством курла?
Не Рома, но на часть вопросов могу ответить из личного опыта.
C click API не думаю что возникнут какие либо проблемы, если нету из коробки, руками можно реализовать любой кейс.
Вот с 15 параметрами могут возникнуть проблемы.. В трекере предусмотрено 10 параметров источника и еще 10 лендинг параметров можно делать.
Как вариант, можно так же использовать евенты если это только числовые параметры или же собирать несколько параметров в один и потом скриптами парсить и разбивать. То есть не вижу проблем обойти лимит.
Можно как сторонним обработчиком, так и в настройках самого трекера ставить аналоги IFов на разные статусы. Для трекера важен только кликид+ревеню+статус. Далее он прописывает лид к клику и может рассылать постбеки дальше по источникам с дополнительными параметрами которые он сам возьмет из базы по кликид.
Ну и быстрые ответы на все вопросы наверное можно быстрее получить в саппорте трекера чем ждать ответ Романа тут.
Спасибо, за фидбек!
Вот по параметрам и переживаю, так как десяток из них штук нужно привязать к первоклику, чтобы в дальнейшем юзать в урле/куках пре/лендов. К тому же некоторые из них имеют символьный формат, что похоже идет вразрез функционалу.
epcmaster:Спасибо, за фидбек!Вот по параметрам и переживаю, так как десяток из них штук нужно привязать к первоклику, чтобы в дальнейшем юзать в урле/куках пре/лендов. К тому же некоторые из них имеют символьный формат, что похоже идет вразрез функционалу.
Вот с источника например всякие токены, 10 параметров+екстернал сабид+цена клика = 12 параметров. Которые можем дальше редиректить на лендинг/прелендинг/постбеки.. + еще 10 (вот тут не уверен) лендинг токенов можно присвоить к кликид уже когда человек на лендинге. + 10 евентов. Куда еще больше и зачем? С трудом представляю такие кейсы.
Супер! Да, этого вполне хватит. Числовой формат, как я понимаю, должен быть только у евентов, а для других параметров можно символы использовать. Так ведь?
Да, без проблем, все что можно передать в гет-параметрах, можно использовать в токенах.
Небольшой кейс, или, точнее, негативный опыт. Связан не с трекером. Домен трекера поставили на клаудфлейр, настроили проксирование трафика. По снг трафику % недоезда трафика составил около 15-20% в среднем. После отключения проксирования упал до 5. Из некоторых стран клауд резал больше половины запросов. Потеряно $ было прилично. Не повторяйте чужие проебы.
Клаудфлаер бесплатный был? Тот же ркн банил ип клауда. В платной подписке вроде больше ип.
Parkho:Клаудфлаер бесплатный был? Тот же ркн банил ип клауда. В платной подписке вроде больше ип.
брал за 20$. Разницы в ip вообще не заметил
Сегодня обнаружили, что в одной из кампаний при группировке по OS Version вместо Android 5.1 появился следующий зверь:
Сразу начали выяснять, откуда он взялся. Оказалось что во всех источниках траффика, во всех кампаниях, за все время Андройд 5.1 перезаписался на вот такое вот чудо.
Отписались в службу поддержки, и пока они выясняли, откуда и как оно появилось, параллельно начали копать сам скрипт.
Скорее всего срипт сделан именно под бином, т.к помимо слива кук и прочей ерунды, данный скрипт при запуске должен был заходить аяксом на страницу с настройками бинома и оттуда дергал бы api_token пользователя.
(Быть может и не под бином, как и где хранятся апи ключи в других трекерах, я не знаю)
Сами понимаете, чем грозит слив апи ключей от бинома)
Не понятно в каких случаях данный скприт мог бы запуститься, возможно на каких-то кривых браузерах или еще в каком-то из случаев. Быть может просто был недостаточно правильно засунут. Все же это явная попытка xss, как я понимаю.
Решили так же покопаться там, куда сливается инфа данным скриптом. Админка на китайском языке, называется скрипт "XSS Platform
" в исходном коде админки есть адрес, откуда этот скприт взят:
Сам домен админки работает через cloudflare и как копать дальше, тупо не знаем
Саппорт нашел чуть позже источник, данную штуку просунули через юзерагент, но повторить данную атаку пока не смогли. Данный момент сказали, починят.
Сказали, что у нас на сервере выключен CORS для безопасности и браузер/сервер не дает пройти этому скрипту. В дополнение еще скорее всего режется браузером, т.к. он грузится c http:// , а трекер у нас работает по https://
Такие вот дела.
Ну выглядит как недовзлом. Интересно где и как можно посмотреть/проверить а не было ли успешной пенетрации. Были ли какие то файлы новые на серваке? На ум приходит только базу почекать на всякие символы аля "<", "
Вроде как будет функционал скоро, с логами ip входов или что-то в этом духе.badsant:Интересно где и как можно посмотреть/проверить а не было ли успешной пенетрации.
Нет, заразили через user agentbadsant:Были ли какие то файлы новые на серваке?
badsant:На ум приходит только базу почекать на всякие символы аля "<", "
Да, можно.
эта атака XSS стара как интернет 
когда-то давно было дофига сайтов, где в коментах можно было запостить , и у всех на странице выполнялся этот скрипт.
Вообще данная беда лечится сквозной фильрацией получаемых из вне данных
В данном случае будет достаточно перед выводом строк useragent прогнать через htmlspecialchars.
Так а что они должны чинить, если атака не проходит? Когда вы смотрите эти отчёты, этот скрипт загружается в вашем браузере?
Os дергается c User-agent не "as it is", там еще много чего есть кроме этого.
Думаю об элегантном решении проблемы стоит отписаться владельцу трекера, он и не думал, что так просто.)
Может знаете, как просунуть такое?, т.к. они данную атаку повторить не смогли.
Ну как минимум должны понять и пофиксить две вещи:
И более важный вопрос:
2. Как так получилось, что одним просовыванием перезаписался весь Android 5.1 на Android 5.1
Понятно, что если бы атака удалась, то в браузере ее видно не было бы.
P.S. Посты эти не для того, чтоб выплеснуть негатив в сторону разработчиков трекера. Ребята решали и решают все проблемы довольно оперативно. Просто показалось, что кому-то это будет интереснее, чем обсуждение фильмов и тачек с криптой.
grigorka:И более важный вопрос: 2. Как так получилось, что одним просовыванием перезаписался весь Android 5.1 на Android 5.1
Может все клики с Android 5.1 ботовые?
Какое % от общего кол-ва кликов приходится на 5.1.
Это очень древняя версия ОСи.
Я баню пабы по анамальному распределеню OS версий: скорее всего это боты если велика доля древних OS.
Предполжу сценарий атаки
Mozilla/5.0 (Linux; Android 5.1.1; SM-G928X Build/LMY47X) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/47.0.2526.83 Mobile Safari/537.36
Видимо регулярка бинома парсит по ; , получаем
grigorka:Понятно, что если бы атака удалась, то в браузере ее видно не было бы.P.S. Посты эти не для того, чтоб выплеснуть негатив в сторону разработчиков трекера. Ребята решали и решают все проблемы довольно оперативно. Просто показалось, что кому-то это будет интереснее, чем обсуждение фильмов и тачек с криптой.
Тут ты прав. Строка уже заэкранирована, и поэтому видна в браузере. А значит это код не мог сработать.
Да, интересный случай. На самом деле мы постоянно проводим тесты с этой стороны и в плане xss и инъекций и тип атаки через агент нам известен. Что-то там даже фиксили по этому поводу. Также постоянно работают парочка энтузиастов в попытках что-то поломать за оплату.
Вот не очень я в этом уверен, что в старых кликах была подмена. Проверь плиз еще раз.
Есть уже. Напиши в суппорт. Трекер логирует входы с прошлой версии, в том числе работу по API. Просто в интерфейс еще не выводили.
Атака могла пройти с трекерами без https, но нам повторить не удалось до получения того же api кея, с https скорее всего нет.
[QUOTE="kuzmin;144853"]Предполжу сценарий атаки