网易公开课付费资源逻辑漏洞分析报告.pdfVIP

网易公开课精品课业务存在逻辑漏洞

漏洞类型:逻辑漏洞

漏洞危害:严重

漏洞URL:/

漏洞复现:

首先访问URL:/

可以看到很多序号付费才能观看下载的课

然后我们点进去一个课,按F12查看,并选中一节试听课播放

可以看到点击第一个试听的资源的时候,调用了https://open-

/nos/m4a/2019/09/10/ZENPB8K15_sd.m4a

也就是ZENPB8K15这个文件,点击第二个试听资源的时候调用了https://open-

/nos/m4a/2019/09/10/ZENPBE2UE_sd.m4a这个URL地址,也就是

ZENPBE2UE这个文件

这两个文件只有后面四位是不一样的,也就是只有后面四位不会变,那么通过爆破后面四位字符

就可以获得其他的付费资源从而完成白嫖课程,并且这个课程调用资源地址是非加密的

并且下文的购买提示中也说明不能够下载,但是这个调用资源的URL地址泄露出来,也就可以被

下载下来

此时我们购买一节付费的视频课程

这节购买的视频课程也可以看的出来调用了ZGP58NU4D和ZGP59OB05这两个文件,这两个

文件也仅仅是后面五位的字符不一样,也可以通过爆破后五位来获取到,并且也可以直接访问资

源的URL地址将其保存下来

固恶意用户可以购买付费课查看调用的URL资源地址