EduVE:高顿网校安全分析第三话,权限控制不当导致全网视频可被下载

gaodun-1

网站介绍:

高顿网校作为财经证书网络教育领导品牌,集财经教育核心资源于一身,旗下拥有高顿公开课、在线直播、网站联盟、高顿题库、高顿部落、APP客户端等平台资源,为全球财经界人士提供优质的服务及全面的解决方案。高顿网校将始终秉承"成就年轻梦想,开创新商业文明"的企业使命,加快国际化进程,打造全球一流的财经网络学习平台!
关于高顿网校,我们之前就对其做过两次大平台的评测,详情可参考
1、任务制课程都被拿下http://www.eduve.org/evaluating/2391  阿里云  2、严重漏洞 http://www.eduve.org/evaluating/1324 某c云平台 。
在最近的分析中,发现高顿已经修复了相关漏洞解决了问题,现在调用api已经无法直接获取到vid了,并修复了已知的其他几个漏洞。均是接口调用权限问题。
那么是否就意味着高顿网就真的安全了呢?当然不是,作为一家专业评测的平台,我们要做的是帮助网校更加彻底的指出发现解决问题。
解密流程
首先我们已经要分析试看课程 https://v.gaodun.com/course/play/cid/3525/pid/144945.html

m3u8
key
我们可以发现,课程在加密方面没有变化,m3u8流,AES128加密及秘钥未保护。
pay
 
当我们点击收费课程时,会提醒购买,价格不菲。其实和之前的评测是一致的
 
和之前一致的是,只要找到高顿存放在阿里云的vid就可以下载了。现在更改的就是找vid的逻辑,之前的接口已经被封堵了,但是仍旧是有价值的。
接口调用代码大致如下,接口地址:http://ap**.gaodun.com/Course
访问方式POST:session_id=&source=2&toke***&appVersion=1*****t_id=0&is_learning=0&course_id="+courseid+"&act*********eInfo"
当然这样是不够的,还需要带上特别的校验码,细节不予演示,最后结果如下:
GIF       获取到vid之后,可以拼凑出m3u8下载地址,因为无需校验,所以可以实现任意下载
下载无法试看的视频作为校验,视频分为标清,高清,超清,LD,SD,HD三种清晰度,这里以超清演示。
play-hd
list5

至此高顿网校就算是再次突破了,其他课程也是一样的逻辑,相比之前的直接暴露api获取vid是很有大改进的,但是安全性还不够,在权限方面存在漏洞。

本机构评测文章仅作技术研究,细节不予公布,也不会发布任何相关工具。

 

———-网校等级评价:(满分5颗星)———-

高顿网校内容:

高顿网校数据安全:

高顿网校认知度:

高顿网校总体评价:

—————————————————

请高顿网校注意保护贵站的数据信息安全

 

声明:

    eduve.org 原创出品文章仅作数据安全评测分析相关内容不得用于商业或非法用途!转载请注明文章出处,内容不得修改!

—————————————————————

联系我们:service@eduve.org

未经允许不得转载:eduve.org » EduVE:高顿网校安全分析第三话,权限控制不当导致全网视频可被下载

赞 (7) 评论 (0) 分享 ()