Si poh solitos se pusieron el pie, por etica si encontrara informacion sensible contactaria a sus admins

Hola,

Me gustaria compartir un par de descubrimientos que hice de un sevicio que llego a mi region de Chile, este nuevo servicio ofrece peliculas bajo demanda y contenido en vivo(Cinepolis KLIC).

He estado usando este servicio unos dos meses, pero me llamo la atencion un dia que estaba depurando una API con Wireshark en un entorno de pruebas que hice, mi sorpresa fue que este servicio de streaming no encripta sus contenidos o son tan despistados que dejan las URL al publico en contenidos de prueba que usan internamente.

Haciendo uso de Wireshark note que al querer ver un contenido en este sitio mostraba una liga de CloudFront, repito, sin encripcion, pero mi sorpresa fue que estas mismas ligas las reutilizan para todos sus eventos, eventos ya sean gratis o bajo costo.

Estas fueron las ligas que consegui:

Pruebas internas 1:
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Pruebas Internas 2:
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Y aqui quiero explicar el por que de mi titulo, haciendo referencia a malas practicas..
Si nos metemos a un navegador web y nos vamos a la consola podremos ver todas las llamadas del network, este sitio de streaming tiene contenidos internos (de prueba?) donde usan URLs productivas de sus canales en vivo y pude conseguir su programacion en vivo gratis:

Fox Sports:
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Eventos?
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

ClaroSports:
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Hoy en dia estas malas practicas pueden tener repercuciones grandes, mas si a nuestros equipos de QA se les olvida quitar del ojo publico sus entornos de prueba.

Seguire investigando mas esta plataforma y estare subiendo mis nuevos descubrimientos.

Hack teh planet!