漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-083142
漏洞标题：极客学院学习教程网免年费VIP下载
相关厂商：jikexueyuan.com
漏洞作者： 昔阳
提交时间：2014-11-20 14:42
修复时间：2015-01-04 14:44
公开时间：2015-01-04 14:44
漏洞类型：内容安全
危害等级：中
自评Rank：6
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-11-20： 细节已通知厂商并且等待厂商处理中
2014-11-20： 厂商已经确认，细节仅向厂商公开
2014-11-30： 细节向核心白帽子及相关领域专家公开
2014-12-10： 细节向普通白帽子公开
2014-12-20： 细节向实习白帽子公开
2015-01-04： 细节向公众公开
简要描述：
哟哟切克闹，你有年费我有药！
详细说明：
最近想学HTML5了 然后某朋友告诉我一个好的学习网 http://www.jikexueyuan.com
上去看了看，上面说我不是VIP不能观看？怎么可能！手贱打开了查看源码，好吧真的不能！ 问了问朋友，原来注册有免费VIP赠送的！
注册了过后，看了几课教程，感觉还不错。于是想，如果VIP到期了那岂不是就不能看？本人穷屌丝，最怕的就是什么VIP的了。然后看了看页面，发现原来有下载的啊！按了下载按钮，我擦！不是年费VIP不能下载？
然后思路就来了，既然免费的VIP可以观看但不能下载，那么他的视频肯定会从别的地方引用的啊！
对了 没错，那么问题来了！
重新看了看源码，发现他从外部引用了一个视频进来，嘿嘿a.a
右键复制了这个链接地址下来，粘贴到地址栏。
哟哟，这下爽翻了，直接下载了下来观看！嘿嘿
求给vip哇a.a
漏洞证明：
右键复制了这个链接地址下来，粘贴到地址栏。
修复方案：
这个我不懂，刚刚学e.e
版权声明：转载请注明来源 昔阳@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2014-11-20 15:12
厂商回复：
这个漏洞已知，需要一定条件的人可以看到有权限的视频，本身业务逻辑没有问题，有权限看就可以下载；另外，下载到的是普通的视频（非高清视频）也是业务逻辑做的限制。
谢谢提交者。
最新状态：
暂无