登录 注册

学校内部系统 被不法教师攻陷了

本贴最后更新于 3574 天前，其中的信息可能已经时移世异

事情是这样的

学校发现了一个可以帮助学生刷分的广告贴

然后让我们追查之下 发现有用户确实进行了刷分操作

但是 这个系统 是学校内部的系统，评分的 url 都是具有一定权限的教师才能访问的

分析是有一个评分教师 利用另一个无权限账号登陆后，直接访问评分的 url，然后进行评分操作 。

系统并没有在 action 里再次做一个权限校验，因为如果不是拥有权限的教师 肯定不会知道这个 url

疑问 1：这个算是安全漏洞吗？

疑问 2：有什么好的解决方案吗？

我们现在采用一个 action 白名单，在用户登录的时候 查询用户能访问的 action 列表，放到 session 中，在 filter 中进行比对

疑问 3：准备增加一套用户行为记录机制，并记录访问者 ip。这个模型有什么好的建议吗？

校园内部的系统 是收费的 达到一定分数可以获取本科毕业证的！！！

大连 位置
2 赞同
15 回帖
5
3
5.4k 54 394 1.4k 1.3k 435 5 261 1.5k

相关帖子

15 回帖
学校内部系统 被不法教师攻陷了

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
  • 88250 •
    订阅者

    算是安全漏洞的，没权限的账号操作时肯定要拦掉。总体感觉就是你们一开始设计的时候没考虑操作权限和数据权限，慢慢改进吧~

    另外还需要增加一个事后处理的管理后台，比如发现刷分，要能方便的吧分扣回去或者惩罚机制什么的。

  • zjq0tachyon •

    必须算是安全漏洞，解决方案：禁止直接访问链接。

  • crick77 •
    作者

    @zjq0tachyon 怎么禁止？ 全 ajax？

  • crick77 •
    作者

    @88250 大佬啊 看我尽力了 他们还是喜欢 QQ 群啊

  • 88250 •
    订阅者

    @crick77 唉，怎么说呢。

    一个帖子不足以说明任何问题，因为用户的习惯真的不是一时半会可以改变的。

    加油加油，帮助我一起尝试一个有意义的事情。

  • armstrong • • 2

    oplog + 权限管理。不管系统多烂，就算权限管理不完善，至少保证有 oplog，毕竟事后追查刷再多分也没用，一样可以打回圆形。

  • crick77 •
    作者

    @armstrong oplog 没用过 这个有什么优势吗？ 能不能简单介绍两句？

  • wizardforcel • • 1

    req handler 里面不做权限校验就是作死。

  • crick77 •
    作者

    @wizardforcel 实在 filter 做了 session user 验证 因为 这个 url 肯定是只有有权限的老师才能进去 并且知道 所以疏忽了

  • hongdanyang1991 •

    hello world

    该回帖因偏离主题而被折叠
    1 操作
    88250 在 2019-07-12 21:24:01 折叠了该回帖
  • kevinBobo • • 1

    什么代码写的？ java 的话用的什么基本框架还是就是过滤器实现的？
    你说的问题就是安全框架不完善的问题
    建议完善优化 java 推荐使用 spring security

    2 回复
  • DevYui • • 1

    朋友，已经两年了。

  • crick77 •
    作者

    感谢,让我回顾了一下两年前的系统架构

  • 88250 •
    订阅者

    我也回顾了一下，把标题看成了“学校内部系统 被法师攻陷了” 😂

    1 回复
  • yuanhenglizhen •
    捐赠者

    我也是

请输入回帖内容 ...
crick77
天行健 男儿当立志 大连
回帖
327
 帖子
123
 积分
7608

近期热议

推荐标签 标签

  • Access
    1 引用 • 3 回帖 • 13 关注
  • jsoup

    jsoup 是一款 Java 的 HTML 解析器，可直接解析某个 URL 地址、HTML 文本内容。它提供了一套非常省力的 API，可通过 DOM，CSS 以及类似于 jQuery 的操作方法来取出和操作数据。

    6 引用 • 1 回帖 • 517 关注
  • Lute

    Lute 是一款结构化的 Markdown 引擎，支持 Go 和 JavaScript。

    29 引用 • 202 回帖 • 54 关注
  • uTools

    uTools 是一个极简、插件化、跨平台的现代桌面软件。通过自由选配丰富的插件，打造你得心应手的工具集合。

    9 引用 • 75 回帖 • 1 关注
  • OpenStack

    OpenStack 是一个云操作系统，通过数据中心可控制大型的计算、存储、网络等资源池。所有的管理通过前端界面管理员就可以完成，同样也可以通过 Web 接口让最终用户部署资源。

    10 引用 • 9 关注
  • Elasticsearch

    Elasticsearch 是一个基于 Lucene 的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎，基于 RESTful 接口。Elasticsearch 是用 Java 开发的，并作为 Apache 许可条款下的开放源码发布，是当前流行的企业级搜索引擎。设计用于云计算中，能够达到实时搜索，稳定，可靠，快速，安装使用方便。

    117 引用 • 99 回帖 • 191 关注
  • 单点登录

    单点登录（Single Sign On）是目前比较流行的企业业务整合的解决方案之一。SSO 的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

    9 引用 • 25 回帖 • 9 关注
  • Sphinx

    Sphinx 是一个基于 SQL 的全文检索引擎，可以结合 MySQL、PostgreSQL 做全文搜索，它可以提供比数据库本身更专业的搜索功能，使得应用程序更容易实现专业化的全文检索。

    1 引用 • 259 关注
  • Excel
    32 引用 • 29 回帖 • 1 关注
  • NGINX

    NGINX 是一个高性能的 HTTP 和反向代理服务器，也是一个 IMAP/POP3/SMTP 代理服务器。 NGINX 是由 Igor Sysoev 为俄罗斯访问量第二的 Rambler.ru 站点开发的，第一个公开版本 0.1.0 发布于 2004 年 10 月 4 日。

    316 引用 • 547 回帖 • 4 关注
  • Electron

    Electron 基于 Chromium 和 Node.js，让你可以使用 HTML、CSS 和 JavaScript 构建应用。它是一个由 GitHub 及众多贡献者组成的活跃社区共同维护的开源项目，兼容 Mac、Windows 和 Linux，它构建的应用可在这三个操作系统上面运行。

    16 引用 • 143 回帖 • 6 关注
  • 域名

    域名（Domain Name），简称域名、网域，是由一串用点分隔的名字组成的 Internet 上某一台计算机或计算机组的名称，用于在数据传输时标识计算机的电子方位（有时也指地理位置）。

    43 引用 • 208 回帖
  • 禅道

    禅道是一款国产的开源项目管理软件，她的核心管理思想基于敏捷方法 scrum，内置了产品管理和项目管理，同时又根据国内研发现状补充了测试管理、计划管理、发布管理、文档管理、事务管理等功能，在一个软件中就可以将软件研发中的需求、任务、bug、用例、计划、发布等要素有序的跟踪管理起来，完整地覆盖了项目管理的核心流程。

    11 引用 • 15 回帖 • 1 关注
  • 知乎

    知乎是网络问答社区，连接各行各业的用户。用户分享着彼此的知识、经验和见解，为中文互联网源源不断地提供多种多样的信息。

    10 引用 • 66 回帖
  • Vue.js

    Vue.js（读音 /vju ː/，类似于 view）是一个构建数据驱动的 Web 界面库。Vue.js 的目标是通过尽可能简单的 API 实现响应的数据绑定和组合的视图组件。

    269 引用 • 666 回帖 • 1 关注
  • Solo

    Solo 是一款小而美的开源博客系统，专为程序员设计。Solo 有着非常活跃的社区，可将文章作为帖子推送到社区，来自社区的回帖将作为博客评论进行联动（具体细节请浏览 B3log 构思 - 分布式社区网络）。

    这是一种全新的网络社区体验，让热爱记录和分享的你不再感到孤单！

    1449 引用 • 10092 回帖 • 489 关注
  • 宕机

    宕机，多指一些网站、游戏、网络应用等服务器一种区别于正常运行的状态，也叫“Down 机”、“当机”或“死机”。宕机状态不仅仅是指服务器“挂掉了”、“死机了”状态，也包括服务器假死、停用、关闭等一些原因而导致出现的不能够正常运行的状态。

    13 引用 • 82 回帖 • 75 关注
  • LeetCode

    LeetCode（力扣）是一个全球极客挚爱的高质量技术成长平台，想要学习和提升专业能力从这里开始，充足技术干货等你来啃，轻松拿下 Dream Offer！

    209 引用 • 72 回帖 • 1 关注
  • Kotlin

    Kotlin 是一种在 Java 虚拟机上运行的静态类型编程语言，由 JetBrains 设计开发并开源。Kotlin 可以编译成 Java 字节码，也可以编译成 JavaScript，方便在没有 JVM 的设备上运行。在 Google I/O 2017 中，Google 宣布 Kotlin 成为 Android 官方开发语言。

    19 引用 • 33 回帖 • 87 关注
  • Telegram

    Telegram 是一个非盈利性、基于云端的即时消息服务。它提供了支持各大操作系统平台的开源的客户端，也提供了很多强大的 APIs 给开发者创建自己的客户端和机器人。

    5 引用 • 35 回帖
  • 千千插件

    千千块（自定义块 css 和 js）
    可以用 ai 提示词来无限创作思源笔记

    32 引用 • 69 回帖 • 1 关注
  • 京东

    京东是中国最大的自营式电商企业，2015 年第一季度在中国自营式 B2C 电商市场的占有率为 56.3%。2014 年 5 月，京东在美国纳斯达克证券交易所正式挂牌上市（股票代码：JD），是中国第一个成功赴美上市的大型综合型电商平台，与腾讯、百度等中国互联网巨头共同跻身全球前十大互联网公司排行榜。

    14 引用 • 102 回帖 • 261 关注
  • Notion

    Notion - The all-in-one workspace for your notes, tasks, wikis, and databases.

    10 引用 • 80 回帖 • 1 关注
  • 星云链

    星云链是一个开源公链，业内简单的将其称为区块链上的谷歌。其实它不仅仅是区块链搜索引擎，一个公链的所有功能，它基本都有，比如你可以用它来开发部署你的去中心化的 APP，你可以在上面编写智能合约，发送交易等等。3 分钟快速接入星云链 (NAS) 测试网

    3 引用 • 16 回帖
  • OpenShift

    红帽提供的 PaaS 云，支持多种编程语言，为开发人员提供了更为灵活的框架、存储选择。

    14 引用 • 20 回帖 • 687 关注
  • OkHttp

    OkHttp 是一款 HTTP & HTTP/2 客户端库，专为 Android 和 Java 应用打造。

    16 引用 • 6 回帖 • 99 关注
  • flomo

    flomo 是新一代 「卡片笔记」 ，专注在碎片化时代，促进你的记录，帮你积累更多知识资产。

    6 引用 • 144 回帖

最新标签