EduVE:广联达集团旗下建筑课堂网校,视频下载难度不升反降,安全问题刻不容缓。

建筑课堂封面

网站介绍:

建筑课堂是建筑软件培训及建筑专业学习的实战视频分享平台,涉及广联达软件培训、钢筋、土建、装饰、安装、市政、施工管理、施工标准、项目管理,招投标管理等内容的实战培训视频。

 

     距离我们上次分析建筑课堂已有2年的时间,并且我们在不久之前初步判断了下该网站的安全问题,发现已经修复了之前的漏洞,api接口已被封堵。那么是否意味着就安全了呢?

     借着各位高考学子刚结束考试的考试风,我们对在线教育网站建筑课堂做一次深入评测,首先我们需要分析试看课程 http://jzkt.glodon.com/front/couinfo/901解密流程

    我们可以根据试看课程,发现与2年前貌似没有变化,依旧是采用的某云平台的加密,pcf格式文件

jianzhuketang-1

我们下载后根据之前的算法可以解密出源文件!至于pcf地址是如何找到的,我们不再累赘,因为没有变化,只要有对应的uid和vid,结合playinfo api即可得到全部清晰度的视频!

jianzhuketang-3

          现在的关键是如何找到所有收费视频的vid?我们刚才已经说了,之前关于获取vid的list接口已经被封堵了,现在访问接口 http://jzk**n.com/**oursetree/**01

         虽然能够拿到所有的视频名称,上传时间,时长等信息,但是唯独缺少我们需要的关键vid ,看起来官网在调用该平台接口的时候做了保护措施,那么是否有其他接口或漏洞能找到vid呢

jianzhuketang-4

        陷入了焦灼状态,因为持续了很久我们都没能找到,但是我们不能放弃,决定更换思路,终于找到了可用的信息。为此我们还小小支出了一笔费用来测试,购买了该课程。

        结论其实很简单,和上面的接口有很大关系,我们只更改了访问方式,并提交了没有校验的cookies即可,该漏洞同样适用于其他课程。数据大致如下

        videoUrl=1096A2B6BA0C0F339C33DC5901307461,videoId:4357,courseId:901,videoName=提高工作效率的8个重要功能点,videoType=CC
        videoUrl=A35F5938BEE1E7289C33DC5901307461,videoId:4358,courseId:901,videoName=全费用综合单价,videoType=CC
        videoUrl=9B8CC6AA1ED2809E9C33DC5901307461,videoId:4359,courseId:901,videoName=措施项目及其他项目,videoType=CC
        videoUrl=FA139F525531CEC29C33DC5901307461,videoId:4360,courseId:901,videoName=费率及材机除税价调价,videoType=CC
        videoUrl=A6A9CAD097F5C0A59C33DC5901307461,videoId:4361,courseId:901,videoName=费用汇总及项目自检,videoType=CC
        videoUrl=8BBC2BB93D01DCBA9C33DC5901307461,videoId:4362,courseId:901,videoName=招标人及投标人关联暂估价的6个应用技巧及注意事项,videoType=CC
        videoUrl=A3FA58750CA42E3F9C33DC5901307461,videoId:4363,courseId:901,videoName=电子招投标业务流程及小结,videoType=CC

        然后结合playinfo api,我们随意下载校验是否正确。

jianzhuketang-5

         其实评测到这里远远没有结束,因为我们在调试过程中,发现了建筑课堂并不只采用了一家云平台(大部分课程都在我们分析的这个平台)

jianzhuketang-6

      还有少部分课程采用额别的云服务,至少有3家同时开展,我想建筑课堂也是也是为了尝试,为了课件安全保障吧!

      毕竟不能把所有苹果都放在同一个篮子中!在下一篇评测中,我们再慢慢深入研究!

 

本机构评测文章仅作技术研究,细节不予公布,也不会发布任何相关工具。

 

———-网校等级评价:(满分5颗星)———-

建筑课堂网校内容:

建筑课堂网校数据安全:

建筑课堂网校认知度:

建筑课堂网校总体评价:

—————————————————

请建筑课堂网校注意保护贵站的数据信息安全

 

声明:

    eduve.org 原创出品文章仅作数据安全评测分析相关内容不得用于商业或非法用途!转载请注明文章出处,内容不得修改!

未经允许不得转载:eduve.org » EduVE:广联达集团旗下建筑课堂网校,视频下载难度不升反降,安全问题刻不容缓。

赞 (6) 评论 (0) 分享 ()