前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
圈层
工具
发布
首页
学习
活动
专区
圈层
工具
MCP广场
社区首页 >专栏 >从Youtube的视频ID和频道ID中发现漏洞

从Youtube的视频ID和频道ID中发现漏洞

作者头像
FB客服
发布于 2019-09-11 09:08:19
发布于 2019-09-11 09:08:19
6.8K2
举报
文章被收录于专栏:FreeBufFreeBuf

大家好,今天分享这篇Writeup是关于Youtube的两个漏洞,确切来说,是Youtube Studio平台(https://studio.youtube.com/)漏洞。作者通过其中涉及的视频id和频道id,从而可以对任意Youtube视频进行属性修改,并获取到相关用户的私享频道视频。

Youtube Studio平台是全新的创作中心,用户可以在上面轻松管理YouTube帐号、上传视频、推动频道发展并与观众互动,该平台具备多种炫酷功能,包括查看视频分析数据、更改社区和频道相关设置以及批量视频更新等。

一、更改任意Youtube视频的设置信息

当访问Youtube Studio主页,可以看到左边有一列菜单栏,其中有一个名为“视频(Videos)”的菜单,点击它之后,会跳出Youtub上所有你上传或编辑过的视频,如下:

如果你是一名视频制作者,想一次对所有视频做个批量修改,比如,在视频描述中添加合作者链接,在标题中添加标签或把视频设置为私有等等。那么,这里有一个功能可以实现这种操作。首先,选中你要编辑的视频,然后在视频栏上方黑色区域会出现一条工具栏(toolbar),在“修改”按钮下有“标题”、“说明”、“标签”、“公开范围”、“评论”等属性可待修改,按照不同类别选定修改后,在右边会出现一个“更新(UPDATE VIDEOS)”按钮,点击即可完成视频属性更改。

当点击这个“更新(UPDATE VIDEOS)”按钮之后,便会触发一个发送到Youtube服务器的POST请求:https://studio.youtube.com/youtubei/v1/creator/enqueue_creator_bulk_action

请求主体为JSON格式代码,该JSON内容包括各种视频属性和配置参数,但是在其中有一个参数引起了我的注意,那就是名为“videos”的参数,它由一个包含视频id的videoIds数组表示,如下:

分析一番之后,我发现没有任何验证或保护措施来保证这些视频id确实与用户实际发起更改的视频相对应,也就是说,我可以通过更改这些视频id来实现对任意Youtube视频的属性更改。

该漏洞影响还是相对较大的,比如我可以把一些频道的视频设置为私有,间接关闭掉该频道,造成视频无法公开被观看,导致粉丝流失。当然,也还可以在某些流行视频的说明中加入某些内容或链接,实现宣传某些网站或产品的目的。另外,某些投机份子甚至会在一些高点击量视频中加入与自己账户对应的“打赏”功能,来赚取零花钱。以下就是该漏洞的一个POC验证:

演示视频

漏洞上报进程

2018.11.11 漏洞上报 2018.11.12 漏洞分类 - 被评定为好洞“Nice catch” 2018.11.13 漏洞奖励 2018.11.13 漏洞修复

二、获取任意Youtube用户私享播放资源列表

这是一个逻辑漏洞,因为攻击者可以通过它来获取目标Youtube用户未列出的播放资源列表。任何时候,当Youtube用户想在Studio平台中编辑发布某个视频时,需要点击该视频,之后会跳出一个发布编辑窗口,如下:

当该窗口打开时,会在后台发起一个请求Youtube Studio服务的POST请求:https://studio.youtube.com/youtubei/v1/creator/list_creator_playlists endpoint

如其链接所表达的意思,它会提取出当前视频对应的登录用户信息,该请求的作用在于,从其对应的编辑窗口充实播放列表的相关信息。

另外,该请求也是一个JSON格式,其中包含了频道名称对应的channelId参数,它表示当前编辑视频对应的频道。经过研究,我发现在这个channelId参数数值与用户身份之间,Youtube也未做必要的验证措施。

通过Youtube返回的响应消息我发现,当某个频道满足一个条件:只有PUBLIC(公开)和UNLISTED(私享)两种播放列表时,我们就能利用该漏洞获取到它所有的播放列表资源。

如果目标Youtube用户满足上述条件,攻击者可以利用该漏洞获取到任意Youtube用户的任何私享视频(Unlisted),由于私享视频不会出现在YouTube搜索结果或频道网页中,只有获得链接的用户才能观看,所以这个漏洞算是一个涉及隐私的漏洞。(YouTube为用户提供了第三种视频隐私选项“unlisted”,方便用户私下与好友分享视频。隐私选项被设置为“unlisted”的视频不会出现在YouTube搜索结果、频道网页或用户档案中,只有获得链接的用户才能观看“unlisted”视频。)

漏洞上报进程

2018.11.12 漏洞上报 2018.11.13 漏洞分类 2018.11.14 被评定为好洞“Nice catch” 2018.11.30 漏洞奖励 2018.12.12 漏洞修复

总结

在我的Hacking Google经历中,我尝试着对不同功能点进行了安全分析,其中也学到了很多经验,这两个漏洞仅当分享,希望大家都能有所收获。

*参考来源:medium,clouds编译整理,转载请注明来自FreeBuf.COM

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2019-09-08,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 FreeBuf 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
2 条评论
热度
最新
陈年破事,漏洞早就修复了,还不说清楚谁发现的,程序界也这么乱吗?真丢人。哦、自媒体啊,打扰了打扰了,是我不该浪费时间。
陈年破事,漏洞早就修复了,还不说清楚谁发现的,程序界也这么乱吗?真丢人。哦、自媒体啊,打扰了打扰了,是我不该浪费时间。
回复回复点赞举报
你为什么不写清楚这个漏洞是2015年一个俄国人发现并且早已修复了的呢?——
你为什么不写清楚这个漏洞是2015年一个俄国人发现并且早已修复了的呢?——
回复回复点赞举报
推荐阅读
编辑精选文章
换一批
YouTube for mac(YouTube客户端)
YouTube客户端是用于在移动设备上观看和上传视频的应用程序。通过YouTube客户端,您可以搜索和观看来自全球各地的视频,包括音乐、电影预告片、游戏视频、教育内容等。您还可以订阅频道、创建播放列表、点赞和评论视频,并与其他用户互动。
Mac小小心
2023/04/12
5.5K0
YouTube for mac(YouTube客户端)
用 yt-dlp 下载整个 YouTube 频道的视频
yt-dlp 是 youtube-dl 的一个分支,主要基于现在维护不太活跃的 youtube-dlc。该项目的主要重点是添加新功能和补丁,同时与原始项目保持同步。
生信菜鸟团
2022/02/17
7.5K0
用 yt-dlp 下载整个 YouTube 频道的视频
4K Video Downloader for Mac(YouTube视频下载器)
​​4K Video Downloader是一款专门为帮助您从不同的视频网站下载高清视频的软件工具,各大视频网站的视频都可以使用4k video downloader for mac来下载,将想要下载的视频网址复制到4k video downloader mac版中,点击下载即可,你还能自由选择质量类型。 可帮助您以最简单的方式抓取视频文件,在下载过程结束时,您可以查看有关视频文件的大小,文件格式和长度的详细信息!
对影三人
2023/04/11
1.1K0
4K Video Downloader for Mac(YouTube视频下载器)
《youtube data api v3》接口开通教程
众所周知,YouTube是全球最大的视频分享平台,用户可以在上面观看和上传视频内容。该平台现已成为在线视频市场的领军者之一,拥有数十亿的用户和数以亿计的视频内容。
马哥小迷弟132
2024/07/03
7230
《youtube data api v3》接口开通教程
如何在YouTube Api限额的情况下获取更多视频
谷歌限制了YouTube api v3的请求量,一天10000配额,这里不是10000次请求,每次请求根据不同参数消耗不同配额。为了摆脱这种限制而获得更多的新发布视频,做了以下内容的方案。
一滴水的眼泪
2020/09/24
3K0
YouTube for mac(YouTube客户端)
​​Youtube(油管)是全世界非常有名的视频网站,无论您在Mac上的哪个位置,想要即时访问您的订阅中的最新视频,Clicker for YouTube   Mac版就是您最好的选择,用户不仅可以在电脑浏览器里面打开看视频,还能下载Youtube的应用,实现在手机上观看;不仅可以观看视频,还能发布自己制作的优质视频。
Mac小小心
2023/03/27
7.7K0
YouTube for mac(YouTube客户端)
【GUI软件】调用YouTube的API接口,采集关键词搜索结果,并封装成界面工具!
我用Python独立开发了一款爬虫软件,作用是:通过搜索关键词采集YouTube的搜索结果,包含14个关键字段:关键词,页码,视频标题,视频id,视频链接,发布时间,视频时长,频道名称,频道id,频道链接,播放数,点赞数,评论数,视频简介。
马哥python说
2024/05/08
4690
【GUI软件】调用YouTube的API接口,采集关键词搜索结果,并封装成界面工具!
嫌弃YouTube推荐算法,这位小哥决定自己动手写代码来推荐视频
喜欢在YouTube上看视频的朋友也许会有一个苦恼:YouTube的算法会推荐一些“垃圾”视频,或者“标题党”链接。
AI科技评论
2020/12/08
1.8K0
嫌弃YouTube推荐算法,这位小哥决定自己动手写代码来推荐视频
YouTube 开始测试视频下载
由于 YouTube 不提供下载,所以你可以通过上百的站点,脚本,扩展和程序下载 YouTube 视频。最初,适合下载的格式是 FLV,这种格式只能使用 Adobe Flash 来播放。然后 YouTube 开始测试高清晰视频(包括 MP4),所以现在可以把 YouTube 视频导出成 MP4 格式。 其实下载 YouTube 导出的 MP4 文件,你可以使用以前下载 FLV 文件一样的 URL,然后在 URL 的最后附加上 "&fmt=18" 即可,如下:
Denis
2023/04/14
8530
YouTube 开始测试视频下载
Youtube 短视频推荐系统变迁:从机器学习到深度学习
Youtube是全球最大的视频分享平台,用户量高达10亿+,每天上传的UGC和PGC都是百万级别。那么问题就来了,他们是如何让用户在这么多的视频中快速的发现自己感兴趣的内容呢?大家可能会想到搜索,确实搜索是一个必不可少的工具,但有一个前提条件是用户必须知道视频的关键词,通过搜索关键词才能找到对应的视频,并且用户很多时候其实并不是很知道自己需要什么样的内容,逛youtube纯粹为了打发时间。为了很好的解决用户快速发现可能感兴趣的视频这个问题,推荐系统绝对是搜索的一个很好的补充。
用户2385340
2018/06/20
1.1K0
在 2023 年推出一些有用的 YouTube 转换器
YouTube 是观看次数最多的视频流媒体网站。该在线视频平台于 2005 年推出,提供范围广泛的内容,包括电视剪辑、教育视频、音乐和游戏视频、娱乐内容等。
用户10300659
2023/01/10
2.7K0
在 2023 年推出一些有用的 YouTube 转换器
轻松获取在线媒体:视频下载工具推荐
这些开源项目为用户提供了便捷的方式来下载在线媒体内容。无论是从流行视频网站如YouTube、优酷、BiliBili 等下载视频和音频,还是从网页中获取感兴趣的图片,这些项目都能满足你的需求。
小柒
2023/08/10
7210
轻松获取在线媒体:视频下载工具推荐
「简单实战」YouTube Iframe API 的使用
业务需求需要在自己的网页上嵌入油管( youtube )上的视频,所以去踩了油管 IFrame Player API 的坑。其实和大多数国内视频网站的 ifram Embed 方式是相似,比如说爱奇艺、腾讯视频、优酷等。在这些视频网站上你会发现都有分享功能,其中有一项就是通用代码。油管提供的 IFrame Player API 也是类似的方案。
拾贰
2019/08/28
4.7K0
「简单实战」YouTube Iframe API 的使用
谷歌广告越权获取Youtube私享视频图像帧分析
本文通过谷歌广告中的视频制作功能,作者发现了Youtube私享(Private)视频图像帧的越权获取漏洞,利用该漏洞可以获取知晓视频ID号的任意Youtube私享(Private)视频的所有图像帧,从而可完整拼凑出整个视频图像信息。漏洞最终获得了谷歌官方$5k的奖励。
FB客服
2021/02/08
2.1K0
持续不断地推荐儿童不宜视频背后,YouTube是这样训练AI的
训练 YouTube 搜索算法的员工表示,他们用来评估这个世界上最大的互联网视频平台的准则,有些难以理解并且不够充分。 编译 | 王宇欣 Rik 来源 | BuzzFeed NEWS 本月早些时候,在公众对 YouTube 可能引起不安的潜在不良内容表达强烈不满后,YouTube CEO Susan Wojcicki 表示,2018 年公司将把人类审查员的数量增至 10,000 名,以遏制不良内容。 但是,我们从获得的 YouTube 准则和截图,以及对 10 位现任及前任「评级员(训练 YouTube 搜
企鹅号小编
2018/01/16
1.5K0
持续不断地推荐儿童不宜视频背后,YouTube是这样训练AI的
[译] 海量视频时代下的内容发现之旅
如今在互联网上,人们可以接触到海量的视频信息,而提供这些视频的平台数量已经超过五年前的两倍。因此,人们往往需要花费更多的时间和精力(+13% YoY)去搜索自己感兴趣的内容。
Android 开发者
2018/08/02
5050
[译] 海量视频时代下的内容发现之旅
【YouTube采集软件】根据关键词批量爬取油管搜索结果
我是一枚资深python开发工程师。用python原创开发了一款爬虫软件,作用是:通过搜索关键词采集YouTube的搜索结果,包含14个关键字段(见1.3章节,详细介绍)
马哥小迷弟132
2024/07/03
1.1K0
【YouTube采集软件】根据关键词批量爬取油管搜索结果
谷歌Youtube推荐系统及其深度学习技术应用初窥 | 附算法全文下载 | 解读产品
推荐系统将成为 Deep Learning 最重要的应用领域之一。落地场景主要在各个行业的精准营销场景,如电商产品推荐、电影音乐推荐、房屋推荐等。本质上解决的是各种信息过载背景下,个人定制化信息需求的有效满足问题,最高级的推荐不是找到你知道的需求(母爱式),而是让你发现自己不知道的喜好(父爱式),进一步拓展你的认知。
用户7623498
2020/08/04
1.6K0
谷歌Youtube推荐系统及其深度学习技术应用初窥 | 附算法全文下载 | 解读产品
推荐阅读
相关推荐
YouTube for mac(YouTube客户端)
更多 >
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档