Telegram RegisterThe public register of Telegram
Telegram profile photo for BlackFan

Channel

BlackFan

@Black4Fan

On this record: Growth · Engagement · Reactions · Stars · Posts · Citations · Handles named that no longer answer · Cite this entry

1,172subscribers

+1 since we began measuring on 7 August 2026

Risers and fallers across the register · movement among entries of 1,000–3,162.

Register entry

Telegram ID-1001040193669
TypeChannel
Username@Black4Fan
CreatedBetween 1 January 2016 and 31 October 2016— estimated from Telegram’s id allocation, not measured. How this range is calculated.
First recorded7 August 2026
Last confirmed live16 August 2026
Measurements held5
Confirmed unchanged1 time, most recently 16 August 2026
On Telegramt.me/Black4Fan

Growth

1,1681,1721,1707 August 2026 — 1,171 subscribers7 August 2026 — 1,171 subscribers10 August 2026 — 1,168 subscribers13 August 2026 — 1,171 subscribers16 August 2026 — 1,172 subscribers7 August 202616 August 2026
5 measurements spanning 9 days, net +1. Dots are measurements; the straight line between them is drawn to join them, not to claim we know the path taken in between — snapshots are recorded only when a count changes, so gaps mean “no change observed”, never “interpolated”. The vertical axis spans 1,167–1,173 and does not start at zero.
Measurement log — every subscribers count we have recorded
Measured (UTC)SubscribersChange
16 Aug 2026, 18:051,172+1
13 Aug 2026, 12:181,171+3
10 Aug 2026, 16:281,168-3
7 Aug 2026, 23:321,171no change
7 Aug 2026, 14:021,171first reading

Engagement

16 posts held, back to 12 August 2024the reader has not yet reached the start of this channel’s public history, so older posts may sit further back, unread. Read across 1 pageof Telegram’s post history, 20 posts per page.

Nothing published in the last 30 days. ERR and ER are rolling 30-day measures, so there is nothing to compute — we hold 16 posts for this entry, the most recent from 9 July 2026. An engagement rate over an empty window would be a number about nothing.

Reaction mix

657 reactions across 16 posts, in 4 distinct kinds. The most used accounts for 78.5% of them.

Every reaction kind recorded on the sample, most used first
ReactionCountShareShare, drawn
🔥51678.5%
👍12719.3%
🤔121.83%
👎20.304%

No sentiment is inferred, and none should be read in. This table is ordered by count and by nothing else. Emoji do not carry stable meaning across languages or communities — 🙏 is thanks in one channel and mourning in another — so we publish which ones were pressed and how often, and pass no judgement on what an audience meant by them.

Precision. Telegram publishes reaction counts per emoji and short-forms each one — 4.34K, 1.2M — so any single kind at or above 1,000 reaches us at three significant figures, and only counts below 1,000 are exact. The shares above are ratios of those figures and carry the same error. This is also why the total here can differ slightly from a reaction total printed elsewhere on the page: both are sums of the same rounded parts, taken over samples with different edges.

Coverage. Reactions were read on 16 of the 16 sampled posts in this sample. Summed by Telegram’s own count on each post — not by adding up the per-emoji breakdown above — those same posts carry 657reactions in total: the kind of figure the paragraph above means by “a reaction total printed elsewhere on the page”.

Measured over the 16 most recent posts we hold, published 12 August 2024 to 9 July 2026, using the newest reading held for each. Telegram Stars are excluded: they are a payment, not a reaction, and they have their own section.

Telegram Stars

Stars received
164
across the posts below
Posts paid on
6
of 16 we hold a reading for · 38%
Most on one post
102
single highest reading

A paid reaction is a reader spending Telegram Stars — bought with money — on a post by @Black4Fan. Telegram publishes the count on the public post preview alongside ordinary reactions, and this register reads it there. It is the only figure on this site that measures money moving rather than attention.

Stars are not reactions, and the two are never added. They are rendered in the same strip on Telegram and counted in the same shape, but one is a tap and the other is a purchase. The reaction totals and the engagement rate elsewhere on this page exclude every figure in this section, and no rate here is computed against a reaction count.

This is not revenue, and we publish no currency figure. What a Star costs a reader and what it pays a channel are different numbers, Telegram takes a share we cannot observe, and the terms have changed. Converting a Star count into money would be an estimate dressed as a measurement, so the count is where we stop.

Counted over the 16 most recent posts we hold for this entry, published 12 August 2024 to 9 July 2026. Star counts above 1,000 reach us in Telegram’s short form and carry the same three-significant-figure rounding as everything else on this page.

Recent posts

9 Jul 2026, 13:32 UTC850 views40 reactions4 Starsread 7 August 2026

Записали выпуск "Начинаем в багбаунти" по теме мисконфигов при использовании S3 в веб-приложениях (Youtube). Непривычный для меня формат, но надеюсь получилось интересно. Дополнительный материал из выпуска: ➖ https://github.com/BlackFan/s3-fingerprint Табличка с популярными облачными и локальными решениями, по которой можно определять с какой именно системой идет взаимодействие на сайте. ➖ https://github.com/Black

🔥40

19 Apr 2026, 17:44 UTC≈1,210 views31 reactionsread 7 August 2026
Photo

Финал Standoff Hacks. Шанхай 🇨🇳 GG. Доиграли до конца. Топ-3: 🥇 r0hack — MVP Standoff Hacks 🥈 freeman 🥉 BlackFan MVP по программам: 🏆 BlackFan — Т-Банк 🏆 brain — VK 🏆 hussein98d — «Инфосистемы Джет» 🏆 Antart — Битрикс24 30 топовых багхантеров 350+ отчетов 23+ млн ₽ баунти Две недели интенсивной работы: сотни отчетов, плотный триаж и реальные результаты. Спасибо всем исследователям, кто держал темп до финала. Эт

🔥31

13 Mar 2026, 06:28 UTC≈1,700 views19 reactionsread 7 August 2026

Попался интересный вариант, когда с помощью JWT секрета, извлеченного из Java приложения, не получается сформировать валидный токен. В проекте использовалась устаревшая библиотека jjwt-0.7.0, которая при использовании строки в качестве секрета неявно декодировала его с помощью Base64, даже если это невалидная base64-строка. В результате, при использовании следующего кода: private static String SECRET = "#%j?_GtEhNS

🤔10🔥5👍4

4 Mar 2026, 14:43 UTC≈2,090 views46 reactionsread 7 August 2026

Раскрыл один из интересных отчетов в программе Мегамаркет, опять же связанный с некорректным проксированием HTTP запросов в S3 систему. Ссылка на отчет: https://bugbounty.standoff365.com/disclosed-reports/37 Из интересного - в отчете используется обход Web Application Firewall через разделение XSS нагрузки на части по 5 мегабайт и использование Multipart Upload в S3. А подробнее прочитать о том, из-за чего возника

👍26🔥20

12 Feb 2026, 12:57 UTC≈7,630 views62 reactionsread 7 August 2026

Интересная уязвимость, связанная с кэшированием HTTP ответов из S3, может возникнуть если немного перестараться с настройкой. Условия: 1) Сайт хранит статику в S3 и по определенным условиям проксирует туда запросы, либо имеет отдельный поддомен, который проксирует запросы на S3 бакет 2) Чтобы не гонять 10 мегабайтные JavaScript файлы, кэшируется контент из S3 для любого HTTP ответа с кодом 200 3) Так как кэшируется

🔥48👍13🤔1

16 Jul 2025, 14:43 UTC≈3,140 views52 reactions102 Starsread 7 August 2026

VK раскрыли пачку новых репортов, среди которых мой с XSS на ok.ru. В нем использовалась дополнительная уязвимость веб-сервера с некорректным парсингом двойных кавычек в Cookie, которая позволяет увеличить импакт от XSS и захватить httpOnly cookie. Для эксплуатации должно сойтись 4 фактора: • Наличие уязвимости, позволяющей читать тело HTTP ответа (в данном случае XSS) • В HTTP ответ попадает значение какого-либо c

🔥42👍9🤔1

3 May 2025, 10:57 UTC≈5,260 views21 reactions4 Starsread 7 August 2026

Частично реализовал в BFScan поддержку аннотаций в аргументах конструктора класса. https://github.com/BlackFan/BFScan/releases/tag/v3.1.0 Если раньше для обфусцированных APK у вас генерировалось много HTTP запросов с таким телом, то сейчас результат должен значительно улучшиться. { "f199018c": { "f198956a": { "f198686a": 1, "f198687b": 1 }, "f198957b": { "f198686a": 1, "f19868

👍21

30 Apr 2025, 06:43 UTC≈3,190 views49 reactions1 Starread 7 August 2026
Video

Пора поддерживать тренды и тоже написать что-нибудь с AI в названии. Сделал мини-расширение для Burp Suite Pro, использующее Burp AI функциональность для заполнения значения параметров и заголовков HTTP запроса. https://github.com/BlackFan/Burp-Ai-Substitutor/ Его удобно использовать в случае, если вам неизвестны значения и их нужно угадывать на основе имени параметра. Например, когда вы собираете запросы по JavaSc

🔥35👍12👎2

20 Mar 2025, 09:32 UTC≈26,100 views66 reactions2 Starsread 7 August 2026

Изучая документацию jadx наткнулся на упоминание, что его можно подключить как библиотеку в свое Java приложение. И эта идея настолько понравилась, что в итоге вылилась в небольшой комбайн, который удобно использовать для первоначальной обработки JAR/WAR/APK приложений при анализе защищенности. https://github.com/BlackFan/BFScan BFScan анализирует строковые константы в Java-классах и ресурсах приложения для поиска

🔥62👍4

23 Jan 2025, 10:49 UTC≈10,800 views52 reactionsread 7 August 2026

Небольшая заметка про уязвимую конфигурацию nginx при проксировании запросов на S3, которое позволило в том году налутать немного уязвимостей на BugBounty. Объектные хранилища, совместимые с S3 API, используют два варианта указания имени бакета в запросе. Virtual-hosted–style GET /object-name HTTP/1.1 Host: bucket-name.s3endpoint Path-style GET /bucket-name/objectname HTTP/1.1 Host: s3endpoint При использовании p

🔥43👍9

15 Dec 2024, 11:03 UTC≈2,850 views25 reactionsread 7 August 2026

Сейчас появилась целая куча всевозможных облачных и локальных решений, совместимых с S3. И помимо самого S3 API, в них могут быть реализованы и какие-нибудь свои фишки, которые важно знать. Например, MinIO поддерживает листинг содержимого ZIP архивов и получение файлов из них. Для использования данной функциональности необходимо чтобы объект в бакете имел расширение zip (проверяется по подстроке ".zip/") и HTTP зап

👍17🔥8

21 Nov 2024, 06:59 UTC≈2,650 views35 reactionsread 7 August 2026

Еще немного client-side дроча на тему Self-XSS. Иногда есть необходимость используя XSS или CRLF Injection на одном поддомене, где нет ничего интересного, проэксплуатировать Self-XSS на другом поддомене, где расположено основное приложение с сессией пользователя. Обычно это реализуется следующим образом: 1) Подготавливается сессия атакующего с Self-XSS, которая срабатывает на странице /foo/bar 2) С помощью CRLF Inj

🔥35

Showing the 12 most recent of 16 posts we hold for @Black4Fan. View and reaction counts are the latest single reading for each post, not a live figure, and a recent post is still accumulating both. A view count marked was rounded by Telegram before we ever saw it — t.me prints views in full below 1,000 and to three significant figures above, so ≈1,200,000 means somewhere between 1,150,000 and 1,249,999. Unmarked counts are exact. Text is reproduced from the public post preview and truncated for length.

Stars beside a post are paid reactions — Telegram Stars, bought with money and spent on that post. They are a different unit from reactions and are never added to them, here or anywhere else on this page.

Mentions

Names

Channels on the register whose handles appear in this channel's posts.

A mention is a weaker signal than a forward and is counted separately for that reason — naming a channel is not republishing it, and a handle in a post body is easy to place deliberately. The post counts beside each row below are distinct posts in which the handle appeared, from posts we have read on both sides — the “Named by N registered channels” figure above is a different count, of distinct NAMING CHANNELS rather than posts, and is not the sum of the rows under it.

Cite this entry

A live page changes as we take new readings, so a citation should name the measurement it is based on, not just the URL. The line below cites the subscriber count as measured 16 August 2026 — this entry's latest reading, not the date you are reading this.

“BlackFan” (@Black4Fan), 1,172 subscribers as measured 16 August 2026. Telegram Register, tgregister.com/channel/Black4Fan.

Full measurement history, CC BY 4.0. Every reading this register holds for this entry, not just the latest one, as a dated, downloadable record: CSV · JSON. Free to use with attribution to tgregister.com. Each file carries its own generation timestamp, which is the figure to cite for exactly when the data was retrieved.