前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
圈层
工具
发布
首页
学习
活动
专区
圈层
工具
MCP广场
社区首页 >专栏 >从Youtube的视频ID和频道ID中发现漏洞

从Youtube的视频ID和频道ID中发现漏洞

作者头像
FB客服
发布于 2019-09-11 09:08:19
发布于 2019-09-11 09:08:19
6.8K0
举报
文章被收录于专栏:FreeBufFreeBuf

大家好,今天分享这篇Writeup是关于Youtube的两个漏洞,确切来说,是Youtube Studio平台(https://studio.youtube.com/)漏洞。作者通过其中涉及的视频id和频道id,从而可以对任意Youtube视频进行属性修改,并获取到相关用户的私享频道视频。

Youtube Studio平台是全新的创作中心,用户可以在上面轻松管理YouTube帐号、上传视频、推动频道发展并与观众互动,该平台具备多种炫酷功能,包括查看视频分析数据、更改社区和频道相关设置以及批量视频更新等。

一、更改任意Youtube视频的设置信息

当访问Youtube Studio主页,可以看到左边有一列菜单栏,其中有一个名为“视频(Videos)”的菜单,点击它之后,会跳出Youtub上所有你上传或编辑过的视频,如下:

如果你是一名视频制作者,想一次对所有视频做个批量修改,比如,在视频描述中添加合作者链接,在标题中添加标签或把视频设置为私有等等。那么,这里有一个功能可以实现这种操作。首先,选中你要编辑的视频,然后在视频栏上方黑色区域会出现一条工具栏(toolbar),在“修改”按钮下有“标题”、“说明”、“标签”、“公开范围”、“评论”等属性可待修改,按照不同类别选定修改后,在右边会出现一个“更新(UPDATE VIDEOS)”按钮,点击即可完成视频属性更改。

当点击这个“更新(UPDATE VIDEOS)”按钮之后,便会触发一个发送到Youtube服务器的POST请求:https://studio.youtube.com/youtubei/v1/creator/enqueue_creator_bulk_action

请求主体为JSON格式代码,该JSON内容包括各种视频属性和配置参数,但是在其中有一个参数引起了我的注意,那就是名为“videos”的参数,它由一个包含视频id的videoIds数组表示,如下:

分析一番之后,我发现没有任何验证或保护措施来保证这些视频id确实与用户实际发起更改的视频相对应,也就是说,我可以通过更改这些视频id来实现对任意Youtube视频的属性更改。

该漏洞影响还是相对较大的,比如我可以把一些频道的视频设置为私有,间接关闭掉该频道,造成视频无法公开被观看,导致粉丝流失。当然,也还可以在某些流行视频的说明中加入某些内容或链接,实现宣传某些网站或产品的目的。另外,某些投机份子甚至会在一些高点击量视频中加入与自己账户对应的“打赏”功能,来赚取零花钱。以下就是该漏洞的一个POC验证:

演示视频

漏洞上报进程

2018.11.11 漏洞上报 2018.11.12 漏洞分类 - 被评定为好洞“Nice catch” 2018.11.13 漏洞奖励 2018.11.13 漏洞修复

二、获取任意Youtube用户私享播放资源列表

这是一个逻辑漏洞,因为攻击者可以通过它来获取目标Youtube用户未列出的播放资源列表。任何时候,当Youtube用户想在Studio平台中编辑发布某个视频时,需要点击该视频,之后会跳出一个发布编辑窗口,如下:

当该窗口打开时,会在后台发起一个请求Youtube Studio服务的POST请求:https://studio.youtube.com/youtubei/v1/creator/list_creator_playlists endpoint

如其链接所表达的意思,它会提取出当前视频对应的登录用户信息,该请求的作用在于,从其对应的编辑窗口充实播放列表的相关信息。

另外,该请求也是一个JSON格式,其中包含了频道名称对应的channelId参数,它表示当前编辑视频对应的频道。经过研究,我发现在这个channelId参数数值与用户身份之间,Youtube也未做必要的验证措施。

通过Youtube返回的响应消息我发现,当某个频道满足一个条件:只有PUBLIC(公开)和UNLISTED(私享)两种播放列表时,我们就能利用该漏洞获取到它所有的播放列表资源。

如果目标Youtube用户满足上述条件,攻击者可以利用该漏洞获取到任意Youtube用户的任何私享视频(Unlisted),由于私享视频不会出现在YouTube搜索结果或频道网页中,只有获得链接的用户才能观看,所以这个漏洞算是一个涉及隐私的漏洞。(YouTube为用户提供了第三种视频隐私选项“unlisted”,方便用户私下与好友分享视频。隐私选项被设置为“unlisted”的视频不会出现在YouTube搜索结果、频道网页或用户档案中,只有获得链接的用户才能观看“unlisted”视频。)

漏洞上报进程

2018.11.12 漏洞上报 2018.11.13 漏洞分类 2018.11.14 被评定为好洞“Nice catch” 2018.11.30 漏洞奖励 2018.12.12 漏洞修复

总结

在我的Hacking Google经历中,我尝试着对不同功能点进行了安全分析,其中也学到了很多经验,这两个漏洞仅当分享,希望大家都能有所收获。

*参考来源:medium,clouds编译整理,转载请注明来自FreeBuf.COM

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2019-09-08,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 FreeBuf 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
暂无评论
推荐阅读
编辑精选文章
换一批
收集30GB、近20万对训练样本,复旦大学团队发布UniFMIR:用AI突破显微成像极限
复旦大学计算机科学技术学院研究团队,提出了跨任务、多维度图像增强基础 AI 模型 UniFMIR,实现了对现有荧光显微成像极限的突破,并为荧光显微镜图像增强提供了一个通用的解决方案。
HyperAI超神经
2024/05/22
5650
收集30GB、近20万对训练样本,复旦大学团队发布UniFMIR:用AI突破显微成像极限
放张载玻片就能放大一万倍,普通光学显微镜都馋哭了 | Nature子刊
而现在,只要把样品放在一张特殊的载玻片上,就能用光学显微镜观察到40nm,甚至更小的细节了!
量子位
2021/07/19
3190
清华戴琼海、中科院李栋联合发文《自然•方法》,开发深度学习超分辨显微成像方法
2021年1月21日,中国人工智能学会理事长、中国工程院院士、清华大学自动化系、清华大学脑与认知科学研究院戴琼海课题组与中国科学院生物物理所李栋课题组在《自然•方法》(Nature Methods)杂志发表了题为“光学显微成像中超分辨卷积神经网络的测评和发展”(Evaluation and development of deep neural networks for image super-resolution in optical microscopy)的论文。
AI科技评论
2021/02/08
8150
​[Nature Biotech | 论文简读] 合理化的深度学习超分辨率显微镜用于快速亚细胞过程的持续活体成像
Rationalized deep learning super-resolution microscopy for sustained live imaging of rapid subcellular processes
智能生信
2022/12/29
4110
​[Nature Biotech | 论文简读] 合理化的深度学习超分辨率显微镜用于快速亚细胞过程的持续活体成像
AI+显微镜:更清晰、更快速、更精确
作者/凯霞 显微镜有着悠久的历史,1590年由荷兰的詹森父子所首创,是人类最伟大的发明之一,是人类进入原子时代的标志。显微镜作为科研和医疗领域重要的分析仪器,随着科学进步,对显微镜性能要求提高。而人工智能(AI)的引入,可帮助显微镜看的更清晰,更快的处理更多的数据,更实时、精确、自动化等。 近年来,有很多企业、科研机构和高校投入大量精力,致力于AI应用于显微镜研究。当前,显微镜智能化技术发展迅速。 本文将从显微镜基本概述,AI应用于显微镜研究进展,智能显微镜研究企业及机构,未来机遇与挑战等几个方面进行综述。
机器之心
2023/03/29
1K1
AI+显微镜:更清晰、更快速、更精确
【Mol Cell】分子和细胞生物学中的冷冻电子显微镜(Cryo-EM)(一)
本综述总结了当前冷冻电子显微镜(Cryo-EM)成像在分子、细胞和结构生物学家中所能达到的方法和结果,这对于希望理解所需条件以及该如何帮助解答他们的研究问题的人来说很有用。它涵盖了样本准备、显微镜和数据收集、图像处理、三维(3D)的主要问题。
Chris生命科学小站
2023/08/29
5430
【Mol Cell】分子和细胞生物学中的冷冻电子显微镜(Cryo-EM)(一)
基于深度学习的降噪模型将显微镜成像速度提高了16倍
研究人员在bioRxiv上发表的论文《基于深度学习的点扫描超分辨率成像》中指出:“点扫描成像系统可能是用于高分辨率细胞和组织成像的最广泛使用的工具。它与所有其他成像方式一样,很难同时优化点扫描系统的分辨率、速度、样品保存和信噪比。”
AiTechYun
2020/02/21
7170
【Mol Cell】分子和细胞生物学中的冷冻电子显微镜(Cryo-EM)(三)
电子断层扫描是解析包含完整细胞区域的纳米级样本的三维结构的重要工具。细胞内部并不规则且拥挤,其内部结构在二维投影图像中会重叠。然而,远非一个混沌不堪的“细胞内容”,细胞内部实则高度有序。冷冻电子断层扫描能够揭示出细胞内部的瞬态超级复合体和长程相互作用,例如,不同细胞机制在病毒工厂中以协调的大型装配方式运作。从倾斜系列数据开始,断层图重构相对直接,尤其是当样品含有用于帮助对齐倾斜视图的基准标记时,因为这些倾斜角度是已知的(图5)。对于倾斜样品的三维散焦校正更为复杂,但可行,如在NovaCTF中实现的那样(Turonova等人,2017年)。
Chris生命科学小站
2023/08/29
6260
【Mol Cell】分子和细胞生物学中的冷冻电子显微镜(Cryo-EM)(三)
纳米尺度下的单粒子追踪,厦门大学方宁团队用 AI 奏响「细胞里的摇滚」
厦门大学方宁教授团队基于深度学习,研发了一种自动化、高速、多维的单粒子追踪 (SPT) 系统,打破了细胞微环境中纳米颗粒旋转追踪的局限性。
HyperAI超神经
2024/04/26
2950
纳米尺度下的单粒子追踪,厦门大学方宁团队用 AI 奏响「细胞里的摇滚」
SNEMI3D2022——电子显微镜图像神经元3d分割
今天将分享电子显微镜图像神经元3d分割完整实现版本,为了方便大家学习理解整个流程,将整个流程步骤进行了整理,并给出详细的步骤结果。感兴趣的朋友赶紧动手试一试吧。
医学处理分析专家
2023/09/20
4780
SNEMI3D2022——电子显微镜图像神经元3d分割
学界 | 谷歌《Cell》论文:光学显微镜+深度学习=荧光显微镜
谷歌在透射光显微镜和荧光显微镜这两种显微镜技术上获得灵感,在《Cell》上发表了利用深度学习来对显微镜细胞图像进行分色荧光标记的论文。 AI 科技评论按:在生物和医学领域,研究员们常运用显微镜来观察肉眼无法获得的细胞细节信息。虽然运用透射光显微镜(对生物样本单侧照射生成像),观察起来相对简单且活体培养样本具有良好耐受性,但是其生成的图像难以正确评估。荧光显微技术中会用荧光分子染色需要观察的目标(比如细胞核),这种做法能简化分析过程,但其仍需要复杂的样品制备。随着包括图像质量自动评估算法和协助病理医师诊断癌组
AI科技评论
2018/04/18
2K0
学界 | 谷歌《Cell》论文:光学显微镜+深度学习=荧光显微镜
BvEM2024——体电子显微镜生物血管分割
今天将分享体电子显微镜生物血管分割完整实现版本,为了方便大家学习理解整个流程,将整个流程步骤进行了整理,并给出详细的步骤结果。感兴趣的朋友赶紧动手试一试吧。
医学处理分析专家
2024/01/15
2250
BvEM2024——体电子显微镜生物血管分割
Nat. Light | 深度学习在全息和相干成像中的应用
尽管全息相干成像显微镜存在着如无标记,无扫描3D成像等诸多优点,相对于其它的显微成像模式(如明场显微镜和荧光显微镜),全息显微成像仍旧存在一些问题,如复杂的相位重建迭代过程,噪音噪点,导致了它的使用范围并没有那么广泛。
DrugAI
2021/02/01
1.1K0
Nat. Light | 深度学习在全息和相干成像中的应用
Nature|利用冷冻电镜技术架起结构生物学与细胞生物学的桥梁
2024年4月3日,来自加利福尼亚大学的Eva Nogales和德国海德堡欧洲分子生物学实验室(EMBL)的Julia Mahamid联合在Nature上发表综述:Bridging structural and cell biology with cryo-electron microscopy。
智药邦
2024/04/19
9710
Nature|利用冷冻电镜技术架起结构生物学与细胞生物学的桥梁
Nature | 深度学习解锁细胞显微图像
今天为大家介绍的是来自Michael Eisenstein的一篇报道。深度学习正推动算法的发展,使其能够理解来自各种显微镜技术的图像。
DrugAI
2023/12/12
4970
Nature | 深度学习解锁细胞显微图像
AI实时筛查癌细胞,普通显微镜简单改装就能用,谷歌新突破登上Nature子刊
一个偏远小镇的乡村诊所,现在也有机会用AI,采用人机结合的方式,筛查出难度极高的淋巴结转移的乳腺癌、前列腺癌了。
量子位
2019/08/19
7970
AI实时筛查癌细胞,普通显微镜简单改装就能用,谷歌新突破登上Nature子刊
FeTA2024——胎儿组织分割和生物测量
先天性疾病是全球婴儿死亡的主要原因之一。胎儿脑部宫内 MRI 已开始成为研究先天性疾病胎儿神经发育的宝贵工具。胎儿 MRI 有助于未来开发临床风险分层工具,用于早期干预、治疗和临床咨询。此外,胎儿 MRI 是描绘人类妊娠期间复杂神经发育事件的有力工具,这些事件仍有待完全表征。获取和分析胎儿脑部宫内 MRI 需要专业临床中心的合作,因为这些脆弱患者群体的图像队列很小且异质性(例如,不同站点之间的图像采集参数存在差异)。在大多数使用胎儿 MRI 的专业临床中心,评估仅使用从厚 2D 切片采集中获得的 2D 生物特征测量值进行,尽管最近的研究已经证明了在 3D 超分辨率重建体积中执行这些测量的能力。在 MRI 数据中,对出生前高度复杂且快速变化的大脑形态进行自动生物测量、分割和量化将改善诊断过程,因为手动注释既耗时又容易出现人为错误和评分者间差异。分析发育中的大脑结构的形状或体积等信息具有临床意义,因为许多先天性疾病会导致这些组织区室发生细微变化。现有的生长数据主要基于正常发育的大脑,缺乏许多病理和先天性疾病的生长数据。因此,跨不同扫描仪和图像采集协议自动量化发育中的人脑的稳健方法将是执行此类分析的第一步。从技术角度来看,胎儿大脑的自动分割方法需要克服许多挑战。在胎儿发育过程中,人脑的生理学会发生变化,同时其结构也会经历发育重组。此外,由于胎儿和母亲的运动以及成像伪影,图像质量通常较差 ,而部分容积效应经常导致组织之间边界模糊。最后,与健康对照组相比,异常胎儿大脑的结构通常具有不同的形态。这使得自动方法很难识别这些结构。到目前为止,由于成像方面的挑战以及缺乏公开、精选和带注释的真实数据,胎儿 MRI 领域的研究不足。为了增加样本量,使这些研究具有足够的功效,需要协调场地和 MRI 扫描仪,并结合自动化和强大的 MRI 分析方法。
医学处理分析专家
2024/06/05
3020
FeTA2024——胎儿组织分割和生物测量
业界 | 智能显微镜带领人类观看动物细胞演化大戏
甚至,在关键的48小时窗口中,当原始稚嫩的器官开始生长成型的时候,科学家们能够追踪每一个胚胎细胞,确定它的去向和变化,看看它打开了什么基因的锁头,以及它在此期间遇到了什么细胞。
大数据文摘
2018/12/05
4270
业界 | 智能显微镜带领人类观看动物细胞演化大戏
【Mol Cell】分子和细胞生物学中的冷冻电子显微镜(Cryo-EM)(二)
一旦建立了良好的样本条件,高分辨率数据收集通常在强大的半自动系统上完成。目前,这个领域的市场主要由ThermoFisher Krios主导,其具有300 keV场发射电子枪电子源,平行和相干照明,自动样本处理,高机械和电磁稳定性,能量过滤器用于从图像中移除非弹性散射电子(对于更厚的样本和断层图非常重要),以及用于自动数据收集的先进软件和探测器。JEOL cryoARM提供了基本相同的功能和数据质量,两家公司也提供200 keV的半自动系统。高电压、高分辨率的自动化显微镜购买和运行的成本极高,目前它们需要熟练的操作员为每次数据收集会议进行设置。随着方法的改进和流程化,这些系统越来越像同步加速器束线那样作为中心设施运行。专门的员工操作显微镜,科学审查选中的用户带来或寄来他们的样本进行预定的会议。英国国家电子显微镜设施在钻石光源同步加速器建立,利用了现有的用户程序、同行评审、运行、数据处理和维护的基础设施(Clare等人,2017)。其他几个国家和国际组织已经效仿这个例子。
Chris生命科学小站
2023/08/29
4080
【Mol Cell】分子和细胞生物学中的冷冻电子显微镜(Cryo-EM)(二)
SELMA3D2024——3D光片显微镜图像自监督分割
在现代生物学研究领域,可视化和理解组织和生物体内复杂结构的能力至关重要。经过组织透明化和特定结构染色后的光片显微镜 (LSM) 提供了一种高效、高对比度和超高分辨率的方法,可用于可视化各种样本中的各种生物结构,例如细胞和亚细胞结构、细胞器和过程。在组织透明化步骤中,在保持样本完整性和标记结构荧光的同时,原本不透明的生物样本变得透明,从而使光线能够更深入地穿透组织。在结构染色步骤中,可以使用各种染料、荧光团或抗体来选择性地标记样本内的特定生物结构并增强其在显微镜下的对比度。通过与结构染色和组织透明化步骤相结合,LSM 为研究人员提供了前所未有的能力,能够以高空间分辨率可视化复杂的生物结构,为神经科学、免疫学、肿瘤学和心脏病学等各种生物医学研究领域提供新的见解。在不同的生物医学研究领域中,为了分析 LSM 图像,分割在识别和区分不同的生物结构方面起着关键且必不可少的作用。对于非常小规模的 LSM 图像,可以手动进行图像分割。然而,在整个器官或身体 LSM 情况下,手动分割非常耗时,单个图像可能有 10000^3 体素,因此对自动分割方法的需求很高。基于深度学习的分割方法的最新进展为 LSM 图像的自动分割提供了有希望的解决方案。虽然这些方法的分割性能与专家人类注释者相当,但它们的成功很大程度上依赖于从大量手动注释图像训练集中进行监督学习,这些图像特定于一种结构染色。然而,对各种 LSM 图像分割任务进行大规模注释提出了巨大的挑战。在这种情况下,自监督学习被证明是有利的,因为它允许深度学习模型在大规模、未注释的数据集上进行预训练,学习 LSM 图像数据的有用和通用表示。随后,该模型可以在较小的标记数据集上进行微调,以完成特定的分割任务。值得注意的是,尽管存在大量不同生物结构的 LSM 数据,但自监督学习尚未在 LSM 领域得到广泛探索。LSM 图像的一些特性(例如高信噪比)使数据特别适合自监督学习。
医学处理分析专家
2024/07/03
1860
SELMA3D2024——3D光片显微镜图像自监督分割
推荐阅读
收集30GB、近20万对训练样本,复旦大学团队发布UniFMIR:用AI突破显微成像极限
5650
放张载玻片就能放大一万倍,普通光学显微镜都馋哭了 | Nature子刊
3190
清华戴琼海、中科院李栋联合发文《自然•方法》,开发深度学习超分辨显微成像方法
8150
​[Nature Biotech | 论文简读] 合理化的深度学习超分辨率显微镜用于快速亚细胞过程的持续活体成像
4110
AI+显微镜:更清晰、更快速、更精确
1K1
【Mol Cell】分子和细胞生物学中的冷冻电子显微镜(Cryo-EM)(一)
5430
基于深度学习的降噪模型将显微镜成像速度提高了16倍
7170
【Mol Cell】分子和细胞生物学中的冷冻电子显微镜(Cryo-EM)(三)
6260
纳米尺度下的单粒子追踪,厦门大学方宁团队用 AI 奏响「细胞里的摇滚」
2950
SNEMI3D2022——电子显微镜图像神经元3d分割
4780
学界 | 谷歌《Cell》论文:光学显微镜+深度学习=荧光显微镜
2K0
BvEM2024——体电子显微镜生物血管分割
2250
Nat. Light | 深度学习在全息和相干成像中的应用
1.1K0
Nature|利用冷冻电镜技术架起结构生物学与细胞生物学的桥梁
9710
Nature | 深度学习解锁细胞显微图像
4970
AI实时筛查癌细胞,普通显微镜简单改装就能用,谷歌新突破登上Nature子刊
7970
FeTA2024——胎儿组织分割和生物测量
3020
业界 | 智能显微镜带领人类观看动物细胞演化大戏
4270
【Mol Cell】分子和细胞生物学中的冷冻电子显微镜(Cryo-EM)(二)
4080
SELMA3D2024——3D光片显微镜图像自监督分割
1860
相关推荐
收集30GB、近20万对训练样本,复旦大学团队发布UniFMIR:用AI突破显微成像极限
更多 >
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档