漏洞概要
关注数(24)
关注此漏洞
漏洞标题:乐视网某api权限设置不当导致视频可以任意下载
漏洞作者: 小Q
提交时间:2015-09-16 09:06
修复时间:2015-11-01 09:46
公开时间:2015-11-01 09:46
漏洞类型:设计缺陷/逻辑错误
危害等级:高
自评Rank:12
漏洞状态:厂商已经确认
Tags标签:
无
漏洞详情
披露状态:
2015-09-16: 细节已通知厂商并且等待厂商处理中
2015-09-17: 厂商已经确认,细节仅向厂商公开
2015-09-27: 细节向核心白帽子及相关领域专家公开
2015-10-07: 细节向普通白帽子公开
2015-10-17: 细节向实习白帽子公开
2015-11-01: 细节向公众公开
简要描述:
乐视网某api权限设置不当导致可以随意获取视频下载地址
详细说明:
以收费电影《小时代4:灵魂尽头》为例,
地址 http://www.letv.com/ptv/vplay/23174476.html 那么vid=23174476;
通过API接口 http://api.mob.app.letv.com/play?vid=23174476 可获取各个清晰度的解析地址,
我们以MP4_180的mainurl为例:
,注意要把“\”符号清理掉,得到地址
找一个离自己近的地址,一定注意拷贝完整地址,结尾参数是cips,不明显的话可以放到JS格式化工具里面,访问将得到下载地址
同样把“\”符号清理掉,得到地址
放到迅雷里面下载看看,速度是很快的,
下载完播放看看,
注意地址是时刻变化的,再现的时候需要按照当时的地址进行解析
漏洞证明:
以收费电影《小时代4:灵魂尽头》为例,
通过api得到地址
迅雷下载,
播放视频,
修复方案:
将API接口 http://api.mob.app.letv.com/play?vid= 做访问授权限制
版权声明:转载请注明来源 小Q@乌云
漏洞回应
厂商回应:
危害等级:高
漏洞Rank:12
确认时间:2015-09-17 09:45
厂商回复:
感谢提交,联系开发正在修复。
最新状态:
暂无