[WEB] IDOR 취약점 (feat. 버그헌팅 사례)

1. Insecure Direct Object References (IDOR)

 

[+] 개요

- 안전하지 않은 직접 객체 참조

- 공격자가 개체를 직접 가리키는 매개변수의 값을 수정하여 권한을 우회하거나 소스에 직접 액세스 할 수 있는 취약점

 

 

2. [사례] 유튜브  프레임 IDOR 취약점

 

[+] 취약점 내용

- YouTube의 비공개 동영상에서 프레임을 가져올 수 있는 IDOR (Insecure Direct Object Reference)

 

- 비공개(Private) 영상을 타인이 검색/시청할 수 있는 취약점

https://bugs.xdavidhu.me/google/2021/01/11/stealing-your-private-videos-one-frame-at-a-time/

 

[+] 취약점 분석

- 유튜브에 광고 삽입 과정(MARK MOMENT)에서 광고 삽입시 [MARK MOMENT] 버튼을 통해 HTTP 요청하게 됨

https://bugs.xdavidhu.me/google/2021/01/11/stealing-your-private-videos-one-frame-at-a-time/

 

- 프록시 로그를 통해./GetThumbnails HTTP 요청을 하고 있으며, 내용으로 __ar매개변수의 위치는 1동영상의 ID, 2해당 순간의 시간(밀리초), 응답은 광고에 표시되는 미리 보기 이미지인 base64로 인코딩 된 이미지인 것을 확인할 수 있음

POST /aw_video/_/rpc/VideoMomentService/GetThumbnails HTTP/1.1
Host: ads.google.com
User-Agent: Internet-Explorer-6
Cookie: [redacted]

__ar={"1":"kCTeqs1F4ME","2":"12240","3":"387719230"}

- 타임스탬프에 따라 전달받는 인코딩된 프레임을 하나의 영상으로 제작한다면, 비공개된 영상을 복제 가능

- 다만, 해당 작업은 하나의 프레임값을 가져오는 것이기 때문에 원본보다 화질이 좋지 않으며, 영상의 고유 ID를 알아야 한다는 단점 존재

- 그럼에도 해당 작업은 비공개된 영상의 내용을 확인할 수 있다는 점에서 높게 평가된 버그헌팅