EduVE:爱学堂教育视频安全分析-互联网重构教育“工业革命”之路荆棘密布

aixuetang logo

网站介绍:

    爱学堂创立于2014年5月,是清华大学发起的中文MOOC平台学堂在线的基础教育频道,是教育部在线教育研究中心基础教育部的研究交流和成果应用平台,是爱学棠(北京)教育科技有限公司的旗下中小学MOOC平台(在线教育平台),这里汇集优质教育资源,促进教育公平!解密流程

 

试看地址:http://www.aixuetang.com/jyxtLecture/playIndex?gradeId=31&ID=184&sectionId=12098&auto=true&lectureId=1229&activityName=admin

aixuetang0

从播放器本身属性,并不能看到任何有效信息,但是看整个ui有点像国内的某云平台。

aixuetang1

通过审查模式调试及调用的播放代码,我们确认了的确是采用了视频托管的方式。http://p.***vid=014439E8CDDE6CC49C33DC5901307461&siteid=3BF7C9738A6F67BC&autoStart=true&width=800&height=452&playerid=93EA7068E8E68F87&playertype=2

在之前的评测中我们得知,采用该平台的托管方式,都会有一个playinfo的api接口,从而获取到加密视频pcf的下载地址,然后解密即可。

http://cd12-c120.pla****m/flvs/cb/Qxh44/h1iRauy6zL-2.pcf?t=1517199597&key=CF8AD3FEC684BA4E2F4A2153FB6334E5

 

在调试过程中,我们发现了真实的播放地址。应当是没有采用白名单或开启防盗链,很容易造成视频泄露或流量流失。

https://p.**c.com/playvideo.bo?uid=3BF7C9738A6F67BC&playerid=93EA7068E8E68F87&playertype=2&autoStart=true&mediatype=1&vid=014439E8CDDE6CC49C33DC5901307461&vid=014439E8CDDE6CC49C33DC5901307461&siteid=3BF7C9738A6F67BC&playerid=93EA7068E8E68F87&playertype=2&autoStart=true&mediatype=1

fangdaolian

如此一来,即便加密视频无法做到解密,也可以通过该播放地址实现课程录制,并且不会有任何水印跑马灯。一大隐患。

试看课程分析完成,那么继续分析下收费课程是否存在同样的隐患。我们需要知道免费课程的该平台vid如何调用的。

目前基本上所有的网站,其实调用的方式无非两种。一、页面交互 二、服务器交互(post提交获取数据)。爱学堂采用的方式即是第一种。

yemian

收费课程的vid需要在试看的基础上,做一定的伪造修改,这里就不做细节展示了。呈现漏洞结果如下:

GIF

任意收费课程的直接观看地址演示如下

pay

 

下载结果如下:

down

分析完毕,其实大致漏洞在于接口调用不当及播放未设置白名单及防盗链。

K12教育生态重构难度大且漫长,希望爱学堂加强这两方面的安全性,才能给K12带来更加健康,均衡,公平的教育环境。

 

本机构评测文章仅作技术研究,细节不予公布,也不会发布任何相关工具。

 

———-网校等级评价:(满分5颗星)———-

爱学堂网校内容:

爱学堂网数据安全:

爱学堂网校认知度:

爱学堂网校总体评价:

—————————————————

请爱学堂网校注意保护贵站的数据信息安全

 

声明:

    eduve.org 原创出品文章仅作数据安全评测分析相关内容不得用于商业或非法用途!转载请注明文章出处,内容不得修改!

—————————————————————

联系我们:service@eduve.org

 

未经允许不得转载:eduve.org » EduVE:爱学堂教育视频安全分析-互联网重构教育“工业革命”之路荆棘密布

赞 (6) 评论 (0) 分享 ()