EduVE:华图教育上市一波三折,网校漏洞后院着火。

华图 封面

网站介绍:

    华图网校是全国知名培训机构华图教育集团旗下网络远程教育高端品牌,它融会了华图教育集团十年的公职人员辅导优势教育教学资源,拥有国内最先进的课件制作技术,经过多年的发展,华图网校已经成为国内公职系统培训(公务员、事业单位、招警、法院、检察院、军转干、选调生村官政法干警三支一扶乡镇公务员、党政公选)的远程辅导。

 

我们百度搜索华图网校的时候,自动引导出相关破解下载关键字,说明华图网校数据可能已经泄露

华图-百度

 

同时我们通过淘宝平台,来搜索华图网校关键字,我们得到了更加直观的信息,

原价几百上千的课程在淘宝只需要几块几十块就可以全部拿下,并且销量奇高

 

华图-淘宝1

 

提问:

这些售价几块几十块的淘宝卖家并非华图合作商,那么他们是如何拿到数据呢,

回答:

1.我们从卖家的心理出发,如果是自己购买了官方正版课程然后出售,那么成本是否太高?

很长时间都无法回本,毕竟官方单科课程就可能上千,别说他们出售的是一整套视频

2.就算是卖家愿意购买官方课程,那么能实现销售,说明华图数据加密很差,被破解下载了

卖家不可能翻录课程,毕竟一个视频就有几十分钟乃至上小时!

那么结论就是:1.跳过了购买流程,直接破解了华图数据2.购买华图官方课程然后下载!

 

华图-淘宝2

 

经过很长时间的摸索,我找到了华图的重大安全漏洞,实现了全站任意收费视频讲义的下载!

下面就跟随我的脚步,一步一步的分析华图网校数据下载!

我们进入华图网校,任意找一个课程作为下载测试,如http://v.huatu.com/cla/class_detail_48161.htm

 

华图-list

进入该课程后,我们发现有免费试学的课程,来分析试看视频是否可以被下载

华图-cc

 

我们可以发现华图如此庞大的机构,是采用视频托管形式的,用的是视频托管商**

我们已经熟悉了,前面有多篇文章关于**视频服务提供商的分析,在这里直接给出结果

 

info

华图-flv

华图-play

 

通过分析,我们得知,只要获取到一串ID就可以下载视频,

那么我们现在要做的就是把华图列表的id,就可以下载一整套视频

经过很长时间的抓包,我们终于抓到了一串带有验证的api地址

 

华图-api

里面包含了该课程下所有视频id以及相关时长,是否加密,名称等信息

那么我们就来写工具测试分析,验证下是否正确吧

华图-listdownplay2

讲义1

讲义2

至此华图网校分析结束

 

———-网校等级评价:(满分5颗星)———-

华图网校课程内容:★★ 

华图网校数据安全:

华图网校认知度:★★ 

华图网校总体评价:

—————————————————

注:华图网校的课件服务器为视频托管!

请华图网校的管理员注意保护贵站的信息安全。

声明:

    eduve.org 原创出品文章仅作数据安全评测分析相关内容不得用于商业或非法用途!转载请注明文章出处,内容不得修改!

—————————————————————

联系我们:service@eduve.org

未经允许不得转载:eduve.org » EduVE:华图教育上市一波三折,网校漏洞后院着火。

赞 (2) 评论 (5) 分享 ()