登录 注册

学校内部系统 被不法教师攻陷了

本贴最后更新于 3306 天前，其中的信息可能已经时移世异

事情是这样的

学校发现了一个可以帮助学生刷分的广告贴

然后让我们追查之下 发现有用户确实进行了刷分操作

但是 这个系统 是学校内部的系统，评分的 url 都是具有一定权限的教师才能访问的

分析是有一个评分教师 利用另一个无权限账号登陆后，直接访问评分的 url，然后进行评分操作 。

系统并没有在 action 里再次做一个权限校验，因为如果不是拥有权限的教师 肯定不会知道这个 url

疑问 1：这个算是安全漏洞吗？

疑问 2：有什么好的解决方案吗？

我们现在采用一个 action 白名单，在用户登录的时候 查询用户能访问的 action 列表，放到 session 中，在 filter 中进行比对

疑问 3：准备增加一套用户行为记录机制，并记录访问者 ip。这个模型有什么好的建议吗？

校园内部的系统 是收费的 达到一定分数可以获取本科毕业证的！！！

大连 位置
2 赞同
15 回帖
5
3
5.2k 54 392 1.4k 1.3k 435 5 260 1.4k

相关帖子

15 回帖
学校内部系统 被不法教师攻陷了

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
  • 88250 •
    订阅者

    算是安全漏洞的，没权限的账号操作时肯定要拦掉。总体感觉就是你们一开始设计的时候没考虑操作权限和数据权限，慢慢改进吧~

    另外还需要增加一个事后处理的管理后台，比如发现刷分，要能方便的吧分扣回去或者惩罚机制什么的。

  • zjq0tachyon •

    必须算是安全漏洞，解决方案：禁止直接访问链接。

  • crick77 •
    作者

    @zjq0tachyon 怎么禁止？ 全 ajax？

  • crick77 •
    作者

    @88250 大佬啊 看我尽力了 他们还是喜欢 QQ 群啊

  • 88250 •
    订阅者

    @crick77 唉，怎么说呢。

    一个帖子不足以说明任何问题，因为用户的习惯真的不是一时半会可以改变的。

    加油加油，帮助我一起尝试一个有意义的事情。

  • armstrong • • 2

    oplog + 权限管理。不管系统多烂，就算权限管理不完善，至少保证有 oplog，毕竟事后追查刷再多分也没用，一样可以打回圆形。

  • crick77 •
    作者

    @armstrong oplog 没用过 这个有什么优势吗？ 能不能简单介绍两句？

  • wizardforcel • • 1

    req handler 里面不做权限校验就是作死。

  • crick77 •
    作者

    @wizardforcel 实在 filter 做了 session user 验证 因为 这个 url 肯定是只有有权限的老师才能进去 并且知道 所以疏忽了

  • hongdanyang1991 •

    hello world

    该回帖因偏离主题而被折叠
    1 操作
    88250 在 2019-07-12 21:24:01 折叠了该回帖
  • kevinBobo • • 1 via macOS

    什么代码写的？ java 的话用的什么基本框架还是就是过滤器实现的？
    你说的问题就是安全框架不完善的问题
    建议完善优化 java 推荐使用 spring security

    2 回复
  • DevYui • • 1

    朋友，已经两年了。

  • crick77 • via macOS
    作者

    感谢,让我回顾了一下两年前的系统架构

  • 88250 •
    订阅者

    我也回顾了一下，把标题看成了“学校内部系统 被法师攻陷了” 😂

    1 回复
  • yuanhenglizhen •
    捐赠者

    我也是

请输入回帖内容 ...
crick77
天行健 男儿当立志 大连
回帖
327
 帖子
123
 积分
7608

近期热议

推荐标签 标签

  • Android

    Android 是一种以 Linux 为基础的开放源码操作系统，主要使用于便携设备。2005 年由 Google 收购注资，并拉拢多家制造商组成开放手机联盟开发改良，逐渐扩展到到平板电脑及其他领域上。

    335 引用 • 324 回帖
  • Laravel

    Laravel 是一套简洁、优雅的 PHP Web 开发框架。它采用 MVC 设计，是一款崇尚开发效率的全栈框架。

    20 引用 • 23 回帖 • 737 关注
  • RYMCU

    RYMCU 致力于打造一个即严谨又活泼、专业又不失有趣，为数百万人服务的开源嵌入式知识学习交流平台。

    4 引用 • 6 回帖 • 53 关注
  • NGINX

    NGINX 是一个高性能的 HTTP 和反向代理服务器，也是一个 IMAP/POP3/SMTP 代理服务器。 NGINX 是由 Igor Sysoev 为俄罗斯访问量第二的 Rambler.ru 站点开发的，第一个公开版本 0.1.0 发布于 2004 年 10 月 4 日。

    315 引用 • 547 回帖
  • Anytype
    3 引用 • 31 回帖 • 12 关注
  • Windows

    Microsoft Windows 是美国微软公司研发的一套操作系统，它问世于 1985 年，起初仅仅是 Microsoft-DOS 模拟环境，后续的系统版本由于微软不断的更新升级，不但易用，也慢慢的成为家家户户人们最喜爱的操作系统。

    226 引用 • 476 回帖 • 2 关注
  • NetBeans

    NetBeans 是一个始于 1997 年的 Xelfi 计划，本身是捷克布拉格查理大学的数学及物理学院的学生计划。此计划延伸而成立了一家公司进而发展这个商用版本的 NetBeans IDE，直到 1999 年 Sun 买下此公司。Sun 于次年（2000 年）六月将 NetBeans IDE 开源，直到现在 NetBeans 的社群依然持续增长。

    78 引用 • 102 回帖 • 702 关注
  • 30Seconds

    📙 前端知识精选集，包含 HTML、CSS、JavaScript、React、Node、安全等方面，每天仅需 30 秒。

    • 精选常见面试题，帮助您准备下一次面试
    • 精选常见交互，帮助您拥有简洁酷炫的站点
    • 精选有用的 React 片段，帮助你获取最佳实践
    • 精选常见代码集，帮助您提高打码效率
    • 整理前端界的最新资讯，邀您一同探索新世界
    488 引用 • 384 回帖 • 6 关注
  • 职场

    找到自己的位置，萌新烦恼少。

    127 引用 • 1708 回帖
  • flomo

    flomo 是新一代 「卡片笔记」 ，专注在碎片化时代，促进你的记录，帮你积累更多知识资产。

    6 引用 • 140 回帖
  • 电影

    这是一个不能说的秘密。

    122 引用 • 608 回帖
  • 智能合约

    智能合约（Smart contract）是一种旨在以信息化方式传播、验证或执行合同的计算机协议。智能合约允许在没有第三方的情况下进行可信交易，这些交易可追踪且不可逆转。智能合约概念于 1994 年由 Nick Szabo 首次提出。

    1 引用 • 11 回帖 • 1 关注
  • LeetCode

    LeetCode（力扣）是一个全球极客挚爱的高质量技术成长平台，想要学习和提升专业能力从这里开始，充足技术干货等你来啃，轻松拿下 Dream Offer！

    209 引用 • 72 回帖
  • Q&A

    提问之前请先看《提问的智慧》，好的问题比好的答案更有价值。

    9409 引用 • 42877 回帖 • 110 关注
  • ZooKeeper

    ZooKeeper 是一个分布式的，开放源码的分布式应用程序协调服务，是 Google 的 Chubby 一个开源的实现，是 Hadoop 和 HBase 的重要组件。它是一个为分布式应用提供一致性服务的软件，提供的功能包括：配置维护、域名服务、分布式同步、组服务等。

    59 引用 • 29 回帖 • 2 关注
  • Flutter

    Flutter 是谷歌的移动 UI 框架，可以快速在 iOS 和 Android 上构建高质量的原生用户界面。 Flutter 可以与现有的代码一起工作，它正在被越来越多的开发者和组织使用，并且 Flutter 是完全免费、开源的。

    39 引用 • 92 回帖 • 1 关注
  • B3log

    B3log 是一个开源组织，名字来源于“Bulletin Board Blog”缩写，目标是将独立博客与论坛结合，形成一种新的网络社区体验，详细请看 B3log 构思。目前 B3log 已经开源了多款产品：Sym、Solo、Vditor 和 思源笔记。

    1063 引用 • 3455 回帖 • 165 关注
  • Quicker

    Quicker 您的指尖工具箱！操作更少，收获更多！

    36 引用 • 155 回帖 • 2 关注
  • Solidity

    Solidity 是一种智能合约高级语言，运行在 [以太坊] 虚拟机（EVM）之上。它的语法接近于 JavaScript，是一种面向对象的语言。

    3 引用 • 18 回帖 • 431 关注
  • MongoDB

    MongoDB（来自于英文单词“Humongous”，中文含义为“庞大”）是一个基于分布式文件存储的数据库，由 C++ 语言编写。旨在为应用提供可扩展的高性能数据存储解决方案。MongoDB 是一个介于关系数据库和非关系数据库之间的产品，是非关系数据库当中功能最丰富，最像关系数据库的。它支持的数据结构非常松散，是类似 JSON 的 BSON 格式，因此可以存储比较复杂的数据类型。

    90 引用 • 59 回帖 • 6 关注
  • Vue.js

    Vue.js（读音 /vju ː/，类似于 view）是一个构建数据驱动的 Web 界面库。Vue.js 的目标是通过尽可能简单的 API 实现响应的数据绑定和组合的视图组件。

    267 引用 • 666 回帖 • 1 关注
  • 微信

    腾讯公司 2011 年 1 月 21 日推出的一款手机通讯软件。用户可以通过摇一摇、搜索号码、扫描二维码等添加好友和关注公众平台，同时可以将自己看到的精彩内容分享到微信朋友圈。

    132 引用 • 796 回帖
  • Spark

    Spark 是 UC Berkeley AMP lab 所开源的类 Hadoop MapReduce 的通用并行框架。Spark 拥有 Hadoop MapReduce 所具有的优点；但不同于 MapReduce 的是 Job 中间输出结果可以保存在内存中，从而不再需要读写 HDFS，因此 Spark 能更好地适用于数据挖掘与机器学习等需要迭代的 MapReduce 的算法。

    74 引用 • 46 回帖 • 567 关注
  • Outlook
    1 引用 • 5 回帖
  • Excel
    31 引用 • 28 回帖
  • WordPress

    WordPress 是一个使用 PHP 语言开发的博客平台，用户可以在支持 PHP 和 MySQL 数据库的服务器上架设自己的博客。也可以把 WordPress 当作一个内容管理系统（CMS）来使用。WordPress 是一个免费的开源项目，在 GNU 通用公共许可证（GPLv2）下授权发布。

    66 引用 • 114 回帖 • 200 关注
  • SMTP

    SMTP（Simple Mail Transfer Protocol）即简单邮件传输协议，它是一组用于由源地址到目的地址传送邮件的规则，由它来控制信件的中转方式。SMTP 协议属于 TCP/IP 协议簇，它帮助每台计算机在发送或中转信件时找到下一个目的地。

    4 引用 • 18 回帖 • 637 关注

最新标签