某学校的网课平台网站的渗透测试过程与漏洞扫描分享


 
       许多高校目前都采用某些网络教学平台的网课来部置和考查作业题。做为1个软件工程专

业的在职人员,又颇爱分析网站安全防护,墨守陈规地写作业自然不属于我的特点,我们SINE

安全收到客户的渗透测试委托,对客户的网络教学平台进行了渗透,与漏洞检测。

 
 
雨课堂—破译视频播放速度不可以控制,我院一部分专业科目教师常常在云班课上发表某些“教育

资源文档”,每看完1个视频播放或文档,都是会被后台管理纪录并得到相匹配的成长值。
 
 
首先来1张结果图,因为以前检测过超星学习通,同时播放视频在线观看完毕后的包是行不通的。

后台管理的的数据库归根结底就是从前端开发JavaScript哪里传过来的,因此此次确定从前端开

发进行下手,同时更改前端开发的值,满足程序逻辑一方面。随意点开1个视频看看具体情况,最

下面这条深灰色的bar,是滚动条,看起来像自个做的那类。先点开F12看下具体情况。直扑方向

,检查滚动条设计元素,发觉有时件监控器,进行时件侦听源代码,看下功能模块。搜嘎,有注

解,看完大学生们就明白了,是个全栈工程师,向下翻一翻。关联前后文,高亮度一部分的源代

码功能模块大约就是说:统计已看速度和总速度的百分数,按百分数绘图滚动条,
设定现阶段看完的

视频播放时长.那么既然如此简明扼要,如此就同时ctrl键-C,点开Firefox控制台命令,同时定议1个

自变量,将速度调节到9999,启用修改自变量。能够看见,9999显然较长,绘图的滚动条早已超

过了显示屏总宽,期望的实际效果产生。
 
 
有朋友以前提出质疑,前端开发仅仅 表层,如此后端开发数据库升级了没有?更新一下子看下。

很能够,五十分鐘的视频播放,两三分钟全看光了,乐滋滋。
优慕课——破译视频播放速度不可以

控制 +获得单选题参考答案,首先一部分破译视频播放速度,优慕课相应于云班课而言,就繁琐了一

方面。依然先给点视觉冲击结果图。随意点开1个视频播放,依照以前的渗透测试,点开F12,检查

滚动条设计元素。前后左右翻了一下子,仅有这一段源代码有时件监控器,并且源代码已被搞混解

决,没法浏览。那么既然如此,就同时去程序调试里看下了。翻了一下子文档,看上了

PageViewModule.原生js,文件夹名称异常,主要参数和注解更异常。
 
 
这一段源代码的逻辑关系相对比较一目了然,大约是如此:假如观看视频时长>=视频播放总长,

视频播放速度设定为一百,此判定将会是为了避免标值过大发现异常。假如观看视频速度>=九十

五%,视频播放速度设定为一百,此判定将会是为了更好地容错纠错机制。这一段源代码中有一

个方式被数次启用:element.rack(),由下个判定前提来说,element.rack().login(1)能够同时把

视频播放模式升级为已看完。去控制台命令同时改一下子试一下.element自变量找不到,有几类

将会,pageViewModule.原生js将会找不到被同时引入,element将会是1个现阶段修饰符无法打

开的静态变量。如此,就下个单步,页面刷新试一下。因为源代码中的多处逻辑推理,前提不建

立,没法跳进,如此,我选取在首个判定前下单步,就是说下面的图中的第449行。页面刷新,

运作到单步,原生js终止。键入源代码,element.rack().login(1),换行页面刷新看下,后端开发数

据库是不是升级很能够,破译成功.针对于目前对网课平台的渗透测试,发现很多问题,这些问

题都可能造成学生不好好上课,绕过观看限制,直接显示已完成作业。
分享: