首页
论坛
课程
招聘
[原创]开始我只想看个视频的
2022-7-6 16:55 8168

[原创]开始我只想看个视频的

2022-7-6 16:55
8168

一.发现该软件有ios android h5三端

ios 和 android均为flutter打包
这里我就先研究了h5 其实这种网站ios和android无非也是内嵌h5
后续通过分析android也发现算法一模一样

二.进入正题

图片描述

 

进来个人主页发现是游客身份
图片描述
看视频也只是试看
我看视频什么时候充过钱 搞笑了

 

打开f12 发现跳转百度
找到
图片描述
图片描述
直接使用burp跳过
图片描述
又来一个debug
图片描述
同样的手法
图片描述
可以愉快的调试了

 

发现请求和响应都加密了
图片描述
图片描述
一顿搜索 都出来了
图片描述
图片描述
图片描述
图片描述

 

aes ecb pk5 key都有了

 

iv是16进制 转一下
图片描述

 

得吃
图片描述
开始思考有没有服务器逻辑漏洞
图片描述
图片描述
图片描述
虽然不是游客了
图片描述
但是发现还是只能试看 没卵用
这时候我发现这垃圾网站还可以体现 操作一波
图片描述
图片描述
图片描述
测试了支付宝不可用 银行卡也是
图片描述
很明显是个黑平台 ™d
图片描述
于是乎我在这里打了一堆xss 等待....

 

回到正题 咱们不是破解视频解析地址来的么....还是不要忘了初心
看了下 这玩意是m3u8的分段传输 很明显没开会员不下发的 操作了几波之后准备找个好朋友介个号什么的 发现我哪来的这种朋友 还是继续分析把
图片描述
图片描述
图片描述
解密/detail 响应发现下发的m3u8请求
图片描述
摸索了一会 发现了窍门
图片描述

 

图片描述
图片描述
这里还有个sign要处理下
猜对了生成方式就行了 客户端不可能有的

1
2
3
4
/h5/m3u8?url=/media2/m3u8-preview/593/08f5934d7f171f130a0f432cef4ada09-157848/index.m3u8&time=1657094968&sign=6a171c1eea33c0b99d1ef810405a9a73
/h5/m3u8?url=/media2/m3u8-preview/593/08f5934d7f171f130a0f432cef4ada09-157848/index.m3u8&time=1657095038&sign=4e8437084b0cc4add4bf8a3cf44191fa
/h5/m3u8?url=/media2/m3u8-preview/593/08f5934d7f171f130a0f432cef4ada09-157848/index.m3u8&time=1657095174&sign=e001758eb6e313f9121dd0f54b95b053
/h5/m3u8?url=/media2/m3u8-preview/593/08f5934d7f171f130a0f432cef4ada09-157848/index.m3u8&time=1657095198&sign=eb2ec32982998357d07c708c867e36a3

这里留给大家猜把
反正我搞定了 挺有意思的
咱们继续换个地方 看看支付通道这里 有没有可入手的地方
图片描述
太多支付通道了这网站 我选择了一个进行攻击
发现第三方后台
图片描述
来一波操作之后
图片描述
很明显是个vx拉起支付的通道配置的公众号前端了 没什么用说实话
图片描述

支付通道多达几十个 头疼 后续在慢慢跟进了 顺便偷几个通道玩玩

图片描述

 

这时候我操作的已经到账了
图片描述
先看看视频再说吧
图片描述
图片描述
图片描述
图片描述

确实是这样

回头看下android端有没有啥搞头的
图片描述


看雪2022 KCTF 秋季赛 防守篇规则,征题截止日期11月12日!(iPhone 14等你拿!)

收藏
点赞2
打赏
分享
最新回复 (21)
雪    币: 1371
活跃值: 活跃值 (1727)
能力值: ( LV3,RANK:37 )
在线值:
发帖
回帖
粉丝
qqzxc 活跃值 2022-7-6 17:11
2
0
最后这个下载地址发一下,谢谢
雪    币: 1348
活跃值: 活跃值 (608)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
hzzheyang 活跃值 2022-7-6 17:34
3
0
我有个朋友想知道有没有成品的
雪    币: 680
活跃值: 活跃值 (3817)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
猫盾科技 活跃值 2022-7-6 17:37
4
0
hzzheyang 我有个朋友想知道有没有成品的

还没写 要分段下载 然后组装 key都是明文的 可以自己动手

雪    币: 10125
活跃值: 活跃值 (10391)
能力值: ( LV12,RANK:240 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2 2022-7-6 17:45
5
0
感谢分享,如果能把成果也发出来那就更好了
雪    币: 680
活跃值: 活跃值 (3817)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
猫盾科技 活跃值 2022-7-6 17:49
6
0
pureGavin 感谢分享,如果能把成果也发出来那就更好了[em_86]
回头组装下
雪    币: 2344
活跃值: 活跃值 (1753)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
gamehack 活跃值 2022-7-6 17:55
7
0
大佬这波操做真秀!感谢分享!
雪    币: 792
活跃值: 活跃值 (1595)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
kakasasa 活跃值 2022-7-6 20:29
8
0
2年前研究过h某g的接口,套路都差不多。
雪    币:
活跃值: 活跃值 (77)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
纯质阳炎 活跃值 2022-7-6 21:02
9
0
脚本小子很快啊,根据这帖子泄露的信息,已经有人开始卖永久终身卡白菜价了。离谱...
话说,wooyun.org不早没了么
雪    币: 680
活跃值: 活跃值 (3817)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
猫盾科技 活跃值 2022-7-6 22:37
10
0
纯质阳炎 脚本小子很快啊,根据这帖子泄露的信息,已经有人开始卖永久终身卡白菜价了。离谱... 话说,wooyun.org不早没了么
wc 这么离谱
雪    币: 226
活跃值: 活跃值 (21)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
diskring 活跃值 2022-7-6 22:43
11
0
支付后台密码被修改了吗,我还没有开会员呢
雪    币: 817
活跃值: 活跃值 (2610)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
小黄鸭爱学习 活跃值 2022-7-7 10:44
12
0
提现操作要是真能成功那也是逆天了
雪    币: 0
活跃值: 活跃值 (347)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
woainihehe 活跃值 2022-7-7 10:52
13
0

...

最后于 2022-7-7 10:52 被woainihehe编辑 ,原因:
雪    币: 16026
活跃值: 活跃值 (3247)
能力值: ( LV15,RANK:880 )
在线值:
发帖
回帖
粉丝
obaby 活跃值 20 2022-7-7 11:01
14
0
视频下载直接ffmpeg就ok了
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
wx_彦文 活跃值 2022-7-7 18:55
15
0
下载软件 有现成的 m3u8dowload  自动下载,自动合并 ,就不需要造轮子了
雪    币: 1136
活跃值: 活跃值 (445)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
书生怕怕 活跃值 2022-7-7 19:04
16
0
我朋友让我帮忙问下地址在哪
雪    币: 680
活跃值: 活跃值 (3817)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
猫盾科技 活跃值 2022-7-7 20:11
17
2

雪    币: 227
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
一面 活跃值 2022-7-7 20:35
18
0
向大佬学习
雪    币: 2317
活跃值: 活跃值 (4426)
能力值: ( LV3,RANK:25 )
在线值:
发帖
回帖
粉丝
supperlitt 活跃值 2022-7-8 09:00
19
0
支持支持
雪    币: 680
活跃值: 活跃值 (3817)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
猫盾科技 活跃值 2022-7-8 12:04
20
0

雪    币: 156
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_xuxpsolj 活跃值 2022-7-21 10:24
21
0
感谢老哥分享,虽然sign没猜出生成方式,但前面的思路让我发现了另外一个有意思的东西
雪    币: 6581
活跃值: 活跃值 (5696)
能力值: ( LV9,RANK:320 )
在线值:
发帖
回帖
粉丝
PlaneJun 活跃值 6 2022-7-21 13:45
22
0
向大佬学习!
游客
登录 | 注册 方可回帖
返回