26 lines
2.8 KiB
Markdown
26 lines
2.8 KiB
Markdown
# ranisikapi.xyz — new-api rc.40 fork recon (13.10.2026)
|
||
|
||
Всё в C:/Users/User/tmp/ranisik/ (FINDINGS.md — полный отчёт). Relay: api.ranisikapi.xyz.
|
||
|
||
## Платформа
|
||
new-api форк, version утекает в /api/status: v1.0.0-rc.40-ranisik-modelctx-20261012. Оплата Stripe + Creem (/api/creem/webhook). ~1020 юзеров. RU, «открытая бета — все модели бесплатно».
|
||
|
||
## Авторег (тривиальный)
|
||
POST /api/user/register {username,password} — БЕЗ email-верификации, БЕЗ turnstile, БЕЗ OAuth. 200 за <1с, лимита на реги с IP не замечено (3 подряд ок). Login: POST /api/user/login → JWT + new_api_refresh cookie (ротация, персистить!). Helper: ran_session.py (RanSession: login/api_key/call/quota/persist), банк ran_accounts.jsonl.
|
||
API-ключ: POST /api/token/ {name,expired_time:-1,remain_quota,unlimited_quota:True,group} → POST /api/token/{id}/key.
|
||
|
||
## Signup bonus (НЕ работает, но механика есть)
|
||
Ответ register: signup_bonus_proof = b64url(JSON{v:1,uid,username,ip,iat,exp+600}).b64url(HMAC). Claim-эндпоинт НЕ найден (25+ путей 404), фронт его не использует, quota=0 навсегда. Вестигия форка или выключенный конфиг. WATCH: рега нового акка + проверка quota>0 (cron-кандидат).
|
||
|
||
## Модели/биллинг
|
||
20 моделей; gpt-5.6-terra + gpt-6-luna ratio=0 (free), НО quota-gate: insufficient_user_quota при $0 даже на ratio=0. quota_per_unit=500000=$1. Группы default+vip (в vip каналов нет).
|
||
|
||
## Token-group bypass (минорный, живой)
|
||
POST /api/token/ принимает group='vip' от default-юзера (200, ключ работает). ACL 403 «无权访问» только для НЕИЗВЕСТНЫХ групп (svip/admin). vip → distributor 503 (нет каналов) ДО quota-gate. Если админ заведёт канал в vip — любой юзер заберёт его через токен. Периодически ретестить: создать vip-токен → chat glm-5.3 → если не 503, профит.
|
||
|
||
## Защита (что работает)
|
||
login 429 после ~3 быстрых сессий, topup brute 429, quota-inject PUT игнорится (whitelist), setting-поля под вайтлистом, passkeys 403 secure-verification, state на oauth-bind. rc.40 = все публичные new-api CVE (71479/64865/41432/42339/32879/33655) запатчены.
|
||
|
||
## Итог
|
||
Бесплатных кредитов нет. Тулкит сохранён для ретеста (bonus-enable watch + vip-канал watch). Масс-рега возможна, но бессмысленна при quota=0.
|