互联网视频防盗链的研究（referer,Token防盗链）

一.盗链的定义：

某内容不在自己服务器上，而通过技术手段，绕过别人放广告有利益的最终页，直接在自己的有广告有利益的页面上向最终用户提供此内容。 常常是一些名不见经传的小网站来盗取一些有实力的大网站的地址（比如一些音乐、图片、软件的下载地址）然后放置在自己的网站中，通过这种方法盗取大网站的空间和流量。内容不在自己服务器上，而通过技术手段，绕过别人放广告有利益的最终页，直接在自己的有广告有利益的页面上向最终用户提供此内容。 常常是一些名不见经传的小网站来盗取一些有实力的大网站的地址（比如一些音乐、图片、软件的下载地址）然后放置在自己的网站中，通过这种方法盗取大网站的空间和流量。

二.某视防盗链：

1.Referer防盗链（央视网H5采用referer防盗链+token防盗链）

什么是referer？Referer是HTTP协议中request header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的，服务器基此可以获得一些信息用于处理。如果refer信息不是来自本站，就阻止访问或者跳到其它链接。

我对某视网的H5进行了抓包，发现其采用了referer防盗链：

referer验证过程抓包

不妨推测一下某视网referer防盗链的流程：

第一步：b_match进行referer验证，成功访问返回btime和bauth的信息，然后将btime和bauth通过b_mattching的进行referer验证，通过继续访问，不通过返回error，。

我将b.matching的url复制到浏览器进行了验证，即空referer的情况，charles截图如下：

空referer的request截图

请求返回结果如下图：

由此可见，对referer的判断可以起到防盗链的作用。但是，refer防盗链易于破解，大大降低了防盗链的作用。

第二步，b.matching通过验证会返回一个tag，然后请求vdn，解析获取视频的原始url，然后把原始url作为参数进行new_url请求（参数还有btime，bauth以及referer）：

请求返回新的url，response截图·如下：

第三步，用新的url请求CDN

还有一种UA防盗链，也叫做客户端白名单，依据就是User Agent字段，其原理和referer防盗链类似。UA 防盗链通常用在手机 APP 或者一些可自定义 User Agent 的应用。User agent和referer一样，易于伪造。

2.Token防盗链（时间戳防盗链）

什么是token防盗链？Token防盗链通过对时间有关的字符串进行签名，将时间，签名信息通过一定的方式传递给CDN节点服务器作为判断依据，CDN 节点则会根据 URL 的加密形式，取出对应的过期时间，和当前服务器时间进行比较，确认请求是否过期，过期的话，则直接拒绝；如果时间未过期，CDN 节点将根据约定的签名算法和密文，计算后的值和 URL 中的原始加密串进行比较；通过之后，请求会被认为是合法的。不合法的请求可以采取禁止访问或其他操作。

1）客户端业务服务器生成验证信息，验证信息的生成由业务服务器负责，具体的加密过程需要确认如下事项：

a.确认过期时间的格式，默认采用UNIX时间戳格式

b.确认验证信息中的密文，用户计算验证信息，需要和 CDN 平台约定

c.确认验证信息时加入的参数，默认为 URL 的路径部分

d.根据上文的算法说明计算验证信息，其中请求 URL 中的验证参数为 _upt

2）CDN节点验证过程

a.根据约定解析取出过期时间，和当前 CDN 节点服务器时间进行比较，确认请求是否过期

b.根据上文约定好的算法计算方式，计算出 MD5 加密串后，和 URL 中的加密串进行比较，验证加密串是否一致

c.如果以上两个步骤都验证通过，请求才会被认为是合法的，这时 CDN 会请求资源响应给客户端，否则会被认为是非法请求，直接响应 HTTP status code 403。