漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-055161
漏洞标题：m1905电影网未授权付费点播猜解流媒体地址并本地下载完整片源
相关厂商：M1905.COM
漏洞作者： MarkGUN
提交时间：2014-04-04 11:17
修复时间：2014-05-19 11:18
公开时间：2014-05-19 11:18
漏洞类型：网络未授权访问
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-04-04： 细节已通知厂商并且等待厂商处理中
2014-04-04： 厂商已经确认，细节仅向厂商公开
2014-04-14： 细节向核心白帽子及相关领域专家公开
2014-04-24： 细节向普通白帽子公开
2014-05-04： 细节向实习白帽子公开
2014-05-19： 细节向公众公开
简要描述：
<code>本次提交M1905电影网权限绕过继而获得网络首发电影下载观赏权。</code>
详细说明：
首先给出如下的地址格式，后续做拆分所用
SET1:选择片源 本例选择《青春荷尔蒙2躁动时代》试看
SET2:利用google chrome浏览器 拆分寻找视频流试看地址
SET3:通过目标格式地址，更换为正式地址
SET4:复制最后修改时间的地址拷贝至Internet Download Manger (IDM)中进行下载，并选择相应路径，得到的是.flv格式文件
SET5:等待视频下载完成。达到免费享受正版影视的体验。这里不做过多分析。
所有工作完毕，漏洞可以全站利用。
漏洞证明：
修复方案：
希望网站平台考虑更新体验观看策略、给视频分段处理、分布式存放视频文件、或者是视频加上时间会话限制等条件，以改善本策略引起的相关漏洞。
谢谢！
版权声明：转载请注明来源 MarkGUN@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2014-04-04 14:22
厂商回复：
感谢反馈
最新状态：
暂无