Кража закрытых видео YouTube по одному кадру / Хабр
В декабре 2019 года, спустя несколько месяцев после того, как я занялся хакингом по программе Google VRP, я обратил внимание на YouTube. Мне хотелось найти способ получать доступ к закрытым (Private) видео, которыми я не владею.
При загрузке видео на YouTube можно выбрать один из трёх параметров доступа. «Открытый» (Public) позволяет находить и просматривать видео любым пользователям, «Доступ по ссылке» (Unlisted) позволяет просматривать видео только пользователям, знающим ID видео (URL), «Ограниченный доступ» (Private) позволяет просматривать видео только вам или другим аккаунтам, которым дано на это разрешение.
Первым делом я загрузил видео на свой второй тестовый канал аккаунта YouTube и переключил параметры доступа видео на Private, чтобы его можно было использовать для тестирования. (Помните, что тестирование всегда нужно проводить на тех ресурсах/аккаунтах, которыми вы владеете!)
Я открыл YouTube под первым аккаунтом, проверил каждую функцию и нажал на каждую кнопку, которую смог найти. Каждый раз, когда я видел HTTP-запрос с указанием ID видео, я заменял его на тестовое видео с доступом Private, надеясь, что так утечёт какая-нибудь информация о нём, но успеха не добился. Похоже, что основной веб-сайт YouTube (по крайней мере, все его конечные точки, которые я протестировал) всегда проверяет, находится ли видео в состоянии Private, и когда пытается выполнить запрос к целевому закрытому видео, он всегда возвращает ошибки наподобие This video is private!.
Мне нужно найти другой способ.
В подобной ситуации отличным решением может быть проверка других продуктов/сервисов, не являющихся нашей основной целью, но каким-то образом взаимодействующих внутри с её ресурсами. Если они имеют доступ к ресурсам сайта, то есть вероятность, что у них не реализованы все уровни защиты, которые имеются у основного продукта.
Интересной целью, соответствующей этим требованиям, стал Google Ads. Это продукт, который рекламодатели используют для создания рекламы во всех сервисах Google, в том числе и на YouTube. То есть реклама, которую вы смотрите перед видео на YouTube, настраивается рекламодателями здесь, на платформе Google Ads.
Итак, я зарегистрировал аккаунт Google Ads и создал новую рекламу, которая должна воспроизводить для всех пользователей YouTube видео как рекламу с возможностью пропуска. Во время процесса создания рекламы я также повсюду пытался использовать ID целевого закрытого видео, но без малейшего успеха.
После создания рекламы я начал изучать различные функции Google Ads. Это очень масштабный продукт, и он имеет множество различных параметров и инструментов. Я пытался найти что-нибудь связанное с YouTube.
На платформе я нашёл страницу под названием Videos, где увидел список видео, используемых для моей рекламы. При нажатии на видео открывается раздел аналитики (Analytics) этого видео.
В нём я нашёл встроенный проигрыватель, статистику и интересную функцию под названием Moments. Она позволяла рекламодателям «помечать» конкретные моменты видео, чтобы, видеть, когда происходят разные вещи (например, метка времени момента появления логотипа компании). Честно говоря, я не совсем понял, зачем рекламодатели используют эту функцию, однако она показалась интересной:
Посмотрев на логи прокси, я заметил, что каждый раз, когда я «помечал момент», передавался POST
/GetThumbnails. Тело этого запроса содержало ID видео:POST /aw_video/_/rpc/VideoMomentService/GetThumbnails HTTP/1.1
Host: ads.google.com
User-Agent: Internet-Explorer-6
Cookie: [удалено]__ar={"1":"kCTeqs1F4ME","2":"12240","3":"387719230"}
Где в параметре __ar значение 1 было идентификатором видео, а значение 2 — временем момента в миллисекундах.
В качестве ответа возвращалось изображение в кодировке base64, представлявшее собой миниатюру, используемую платформой Ads.
Я повторил то, что делал уже много раз: заменил в запросе ID на идентификатор закрытого видео второго аккаунта, и, к моему удивлению, получил в ответ изображение base64!
Я загуглил «base64 to image» и вставил данные base64 в первый найденный декодер. На изображении
Но я подумал: «Хм, это всего лишь один кадр». Мы можем добиться большего.
Я хотел написать скрипт на Python с proof of concept, генерирующий настоящее движущееся «видео». Поискав информацию, я понял, что если видео записано с частотой 24 FPS, то один кадр находится на экране в течение 33 миллисекунд.
То есть мне достаточно скачивать каждое изображение, начиная с 0 и выполняя инкремент на 33, а затем собрать из всех полученных кадров своего рода видео.
Я быстро написал POC, которое скачивает кадры для первых трёх секунд видео, декодирует их, а затем генерирует GIF. Чтобы протестировать код, я запустил его со своим старым видео, к которому заранее ограничил доступ, потому что мне было за него стыдно:
Итак, при помощи этого бага злоумышленник может скачать любое закрытое видео на YouTube, что, на мой взгляд, является достаточно серьёзной угрозой. Но, разумеется, она имеет некоторые ограничения, которые я не смог преодолеть:
- В реальной ситуации вам нужно знать ID целевого видео. Их массовая утечка сама по себе будет считаться багом.
- Так как мы получаем только изображения, доступа к звуку получить не удастся.
- Разрешение очень низкое (но его достаточно, чтобы понять происходящее в видео).
Можно сделать вывод, что всегда стоит обращаться внимание на ситуации, когда два различных продукта имеют внутреннее взаимодействие друг с другом, так как команды разработчиков обоих продуктов лучше знают свою систему и могут упустить важные подробности при работе с ресурсами другого продукта.
Поиск подобных IDOR может быть очень монотонным и кропотливым трудом, и теперь я пытаюсь избегать простых слепых замен ID в надежде на лучшее. Если какое-то время потестировать продукт и понять его внутреннее устройство, то будет эффективнее (и интереснее) попытаться подумать о различных неожиданных действиях, о которых могли не подумать разработчики, или сделать упор на недавно реализованных функциях, или просто заняться чем-то, требующим продуманных действий. Возможно, в долговременной перспективе вам это принесёт больше удовольствия. На мой взгляд, чем больше вы понимаете систему, тем больше идей о её взломе приходит в голову естественным образом.
Но даже в самых надёжных и тщательно протестированных системах есть вероятность того, что простая замена ID в запросе позволит получить критически опасный баг.
Как развивалась ситуация
[11 декабря 2019 года] — отправлен отчёт о баге
[12 декабря 2019 года] — первоначальный триаж
[20 декабря 2019 года] — баг принят (P4 -> P1)
[08 января 2020 года] — предприняты шаги по устранению бага при помощи временного отключения функции Moments
[17 января 2020 года] — выписана награда в размере 5000 долларов
[??? ?? 2020 года] — функция Moments снова включена, теперь она проверяет наличие доступа к видео.
На правах рекламы
VDSina предлагает VDS с посуточной оплатой, возможностью в пару кликов создать собственную конфигурацию сервера, установить любую операционную систему. Каждый сервер подключён к интернет-каналу в 500 Мегабит и бесплатно защищён от DDoS-атак!
Подписывайтесь на наш чат в Telegram.
Как открыть доступ к видео на ютубе
Контент на ютубе может быть как свободным, так и с ограничением доступа. Бывает необходимо ограничить к просмотру ролики или весь канал, чтобы придать ему эксклюзивности и заработать на нем, или просто сделать небольшой перерыв в работе, но сохранить всю прежнюю статистику. Мы же поговорим об обратной ситуации: как сделать ютуб доступным, если вы решили вернуться к работе или завоевать более широкую аудиторию……….
Содержание
- Для чего Закрывают свой канал ?
- Снять ограничения с любого видео
- Убрать ограничения для канала
Прежде чем настраивать приватность своего аккаунта, важно понимать последствия таких действий:
- открытый контент виден всем зрителям, его можно найти через поиск на сайте и через поисковые системы;
- в свободном профиле всем желающим открыт просмотр, комментирование и репосты;
- закрытые видео не отображаются в результатах поиска;
- большинство функций закрытого профиля доступны или только подписчикам, или по разрешению владельца.
Важно: YouTube не предусматривает функции закрытия всего канала целиком. Если вы хотите ограничить доступ посторонних к просмотрам, ограничение необходимо устанавливать на каждый опубликованный видеоролик.
Помимо этого, есть настройки конфиденциальности информации о вас и ваших подписках.
В каких случаях может понадобиться такая процедура:
- Для продажи доступа по индивидуальной ссылке.
- Для временного таймаута, например, пока идет настройка и оптимизация канала.
- Сохранение видео только для себя и для близких.
- Необходимость избежать наказания от системы мониторинга ютуба.
Снять ограничения с любого видео
Первое, что необходимо знать перед тем, как открыть доступ к видео или аккаунту на ютубе: это может сделать только владелец аккаунта.
А теперь перейдем непосредственно к инструкции, по которой можно сделать видео доступным (удобнее всего это делать в полной версии, на ПК):
- Войдите на youtube со своим логином и паролем.
- Нажмите по круглому значку вверху справа.
- Перейдите к «Творческой студии».
- Откройте раздел «Видео»
- Здесь все ролики представлены в таблице. В столбце «Параметры доступа» кликните по стрелке, затем установите «Открытый доступ».
- Обязательно сохраните изменения.
- Если вы самостоятельно создавали списки воспроизведения, перед тем как снять ограниченный доступ к ним в ютубе, перейдите в раздел «Плейлисты», дальнейшие действия аналогичны.
На этом все, по этой инструкции вы сможете убрать наложенные запреты и ограничения, реанимировать заброшенный или приостановленный проект и начать работать с ним.
Убрать ограничения для канала
В отношении всего канала можно ограничить:
- просмотр плейлистов других авторов, которые вы сохраняли;
- видимость каналов, на которые вы подписаны.
Если вы когда-то установили запрет на эту информацию, а теперь не помните, как сделать открытый доступ в ютубе, следуйте инструкции.
Как открыть ограниченный просмотр информации к каналу:
- Нажмите на аватар.
- Перейдите в меню «Настройки».
- Слева выберите раздел «Конфиденциальность».
- Если бегунки «Не показывать инфо о плей-листах» и «Не показывать инфо о подписках» синего цвета, значит эти данные скрыты от других пользователей. Хотите раскрыть их – передвиньте бегунки влево, чтобы они стали серыми.
Как поделиться частным видео на YouTube в 2022 году: пошаговое руководство
Вы здесь: Главная / YouTube How-To / Как поделиться частным видео на YouTube в 2022 году: пошаговое руководство
от Balakumaran 4 комментария
В предыдущем посте мы видели, как загрузить приватное видео на YouTube, а теперь посмотрим, как поделиться приватным видео на YouTube? с пошаговым руководством по изображению.
Вы можете поделиться своим видео с друзьями из других стран или своим партнером YouTube (чтобы убедиться, что видео хорошее, прежде чем оно будет опубликовано) или сохранить конфиденциальность с членами вашей семьи, проживающими на расстоянии. Обмен личными видео помогает сделать ваше видео безопасным для ваших доверенных лиц.
Итак, в этом посте позвольте мне объяснить пошаговый процесс того, как поделиться личным видео на YouTube.
Как поделиться приватным видео на YouTube
Кроме того, если вы уже загрузили приватное видео и хотите только поделиться им, вы можете пропустить шаги № 1 и 2 и продолжить чтение с шага 3.
Шаг 1: Перейти к учетной записи YouTube
Прежде всего, перейдите к своей учетной записи YouTube , в которую вы вошли. И нажмите Загрузить видео 9Кнопка 0018 справа вверху (см. изображение ниже).
После нажатия кнопки «Загрузить видео» появится диалоговое окно для выбора видеофайла.
Нажмите кнопку Выберите файлы и загрузите видео, которое вы хотите.
Шаг 2. Поделитесь своим видео
Когда начнется процесс загрузки видео, вы можете перейти на вкладку видимости и выбрать видимость как «Личное» .
Как только вы выберете параметр «Видимость» как Частный , под ним вы можете увидеть опцию под названием «ПОДЕЛИТЬСЯ ЛИЧНО».
Закройте глаза и выберите опцию ПОДЕЛИТЬСЯ ЛИЧНО . Появится диалоговое окно. Посмотрите на изображение ниже.
Здесь введите соответствующие идентификаторы электронной почты частных зрителей, чтобы посмотреть ваше видео. Это позволяет вам вводить идентификаторы электронной почты получателя, чтобы поделиться. Каждый действительный адрес электронной почты разделен пробелом.
Примечание: Копирование URL-адреса видео и его отправка им невозможны. В результате видео не воспроизводится.
Потому что частное загруженное видео не может просматриваться другими.
Шаг 3. Поделитесь личным видео напрямую
Если вы уже загрузили личное видео и хотите поделиться им, пожалуйста, следуйте приведенным ниже инструкциям.
Сначала перейдите в YouTube Studio и выберите параметр Content на левой боковой панели.
Затем щелкните раскрывающийся список видимости «Личное».
Здесь выберите опцию «ПОДЕЛИТЬСЯ КОНФИДЕНЦИАЛЬНО» и введите почтовый идентификатор, которым вы хотите поделиться.
Достаточно. Через уведомление по почте соответствующий получатель уведомляет о ссылке на видео. Таким образом, только член доступа может видеть видео. Вы можете поделиться личным видео с 50 людьми.
- Общие настройки конфиденциальности
Когда мы говорим о загрузке видео на YouTube, есть еще пара опций для обеспечения видимости видео. Для получения дополнительной информации ознакомьтесь с изображением ниже Настройки конфиденциальности видео YouTube .
Часто задаваемые вопросы об обмене приватным видео
1) Можно ли делиться приватным видео на мобильном телефоне?
Простой ответ — НЕТ. Более того, через приложение YouTube Studio мы можем сделать видео только частным. Не могу поделиться личным видео.
2) Каковы преимущества YouTube Private Video?
YouTube — это место, где можно поделиться со всем миром видеоконтентом. Однако преимущества следующие:
> Сохранение внутренней памяти.
> Обмен видео с членами семьи.
> Сохранение сведений о бизнесе .
Заключение
В результате, я надеюсь, что описанные выше шаги развеяли ваши сомнения и позволили вам делиться личными видео на YouTube. Не стесняйтесь задавать любые сомнения в разделе комментариев. Если вам понравился этот пост, пожалуйста, поделитесь им на Facebook.
Читайте также,
- Более 15 инструментов YouTube для развития канала YouTube
- Пример использования TubeBuddy. Увеличение моего трафика на 50 000 просмотров за 30 дней
Делиться — значит заботиться.
6 Акции
- Фейсбук
- Твиттер
- Более
Рубрики: YouTube How-To
О Балакумаране
Создатель блога StrangerShow и рассказчик о YouTubing повсюду. Мои сообщения в блоге будут говорить обо мне больше, чем я говорю здесь.
Взаимодействие с читателем
Как поделиться частным видео на YouTube (2022)
by Gotch SEO Team
YouTube — один из немногих сайтов, которые предлагают возможность конфиденциального обмена контентом.
Мало того, что они ограничены до 50 человек, они также не отображаются в видеорекомендациях, результатах поиска и разделах вкладок видео.
И, если конфиденциальности недостаточно, люди, с которыми вы решите поделиться личным видео, не смогут поделиться этим видео с другими людьми. Если кто-то не получит ссылку, он все равно не сможет получить доступ к видео, если он не находится в выбранном списке приглашенных людей.
В этом есть свои преимущества: если вы работаете с другим брендом или партнером YouTube, вы можете поделиться с ними видео, чтобы убедиться, что все в порядке, прежде чем оно выйдет в эфир. Это также позволяет вам делиться личным контентом с друзьями, семьей и доверенными контактами.
Здесь мы рассмотрим, как поделиться частным видео на YouTube.
Публикация частного видео YouTube
Прежде всего, вам необходимо войти на свой канал YouTube. Нажмите на ‘ загрузить видео ’ в правом верхнем углу.
Появится показанный ниже экран.
Выберите файл и следуйте инструкциям по загрузке видео. Не забывайте хэштеги, описания и теги для вашего видео.
На последнем этапе процесса загрузки вас спросят о видимости вашего видео.
Нажмите синюю ссылку « поделиться в частном порядке ». Откроется диалоговое окно, в котором вам нужно ввести адреса электронной почты людей, с которыми вы хотите поделиться видео YouTube в частном порядке, как показано на снимке экрана ниже.
После того, как вы добавили адреса электронной почты — и помните, что вы можете поделиться своим личным видео на YouTube с пятьюдесятью людьми — нажмите « готово ». Убедитесь, что вы разделяете каждый адрес электронной почты пробелом.
На следующем экране вы увидите подтверждение того, с кем вы решили поделиться своим видео на YouTube.
Теперь, как правило, вы можете отправить ссылку на свое видео на YouTube людям, и они смогут щелкнуть ссылку и посмотреть ее, но если ваше видео на YouTube является частным, это невозможно.
Они должны быть в списке приглашенных, чтобы иметь к нему доступ.
Несмотря на то, что у сохранения конфиденциальности видео на YouTube есть много преимуществ, иногда вы можете загрузить видео, сделать его личным, а затем решить, что хотите поделиться ссылкой. Чтобы поделиться своим личным видео на YouTube, вам нужно перейти в свою студию YouTube.
Нажмите на видео слева и найдите видео, которым хотите поделиться. Нажмите на Получить общую ссылку .
Сделав это, вы получите ссылку для общего доступа, которой вы сможете поделиться со своей семьей, друзьями и кем угодно.
Каковы преимущества конфиденциальности видео на YouTube?
Мы вкратце упомянули об этом выше, но, хотя в большинстве случаев вам нужно как можно больше просмотров видео на YouTube, особенно если вы стремитесь увеличить доход от него, иногда вам нужно или вы хотите сохранить видео в тайне.
Если ваши видео являются для вас очень личными или, например, у вас есть конфиденциальный бизнес-проект, то анонимность частного видео на YouTube идеальна.
Другие преимущества конфиденциальности видео на YouTube:
- Обмен видео с близкими: это хороший форум, чтобы поделиться особыми моментами в частном порядке, если ваши родственники живут далеко.
- Ваша личная видеотека: у некоторых людей есть коллекции произведений искусства. У других есть пластинки, вино или комиксы. То же самое и с видео — это моменты специально для вас, которыми вы не хотите делиться, но хотите сохранить.
- Хранение бизнес-данных: это отличный выбор, если вы хотите поделиться бизнес-планами с персоналом, но не хотите, чтобы ваши конкуренты видели их (например, важные обучающие видео).
- Экономит место на диске: Частная среда — идеальное место для хранения большого количества видео вместо того, чтобы не хватать места на вашем компьютере.
Знание того, как поделиться личным видео на YouTube, означает, что вы получаете все преимущества конфиденциальности, а также возможность поделиться им с избранными людьми, которым вы доверяете и которым хотите предоставить доступ.