在學(xué)校一卡通系統(tǒng)看到的一些東西

Caicloud 發(fā)布于2019-06-27 10:47 / 2641人閱讀

摘要：剛到家，正好把前幾天學(xué)到的東西總結(jié)一下。大概是這樣的，校園一卡通是用戶名位密碼，可以在網(wǎng)上查看帳戶信息。打開(kāi)一卡通網(wǎng)站，登陸的地方只有用戶名和密碼。很常規(guī)的做法，調(diào)出工作臺(tái)，自己登陸一次，看看上去的數(shù)據(jù)。抓包結(jié)果顯示，用戶名和加密的密碼。

剛到家，正好把前幾天學(xué)到的東西總結(jié)一下。
大概是這樣的，校園一卡通是用戶名+6位密碼，可以在網(wǎng)上查看帳戶信息。不禁讓我聯(lián)想到APR攻擊和登陸暴力窮舉，畢竟校園卡里面都是錢(qián)嘛。
打開(kāi)一卡通網(wǎng)站，登陸的地方只有用戶名和密碼。很常規(guī)的做法，F(xiàn)12調(diào)出工作臺(tái)，自己登陸一次，看看POST上去的數(shù)據(jù)。抓包結(jié)果顯示，用戶名和MD5加密的密碼。于是我試著手動(dòng)構(gòu)造用戶名和MD5加密的密碼提交上去，結(jié)果提示密碼錯(cuò)誤。再次抓包，發(fā)現(xiàn)每次POST數(shù)據(jù)中加密的密碼都不一樣~好奇。。。
查看相關(guān)源碼，弄懂了大概的原理。POST之前，MD5加密密碼和一個(gè)隨機(jī)字符串。

password = md5(password+randStr);

這個(gè)randStr是每次加載頁(yè)面時(shí)隨機(jī)程序生成的，也就是說(shuō)web程序首先生成一個(gè)randStr，然后把它保存在session里面，同時(shí)輸出到前端。前端用隨機(jī)碼加密用戶密碼之后POST給服務(wù)器(str1)，服務(wù)器再取出session中的隨機(jī)碼對(duì)數(shù)據(jù)庫(kù)中的用戶密碼進(jìn)行加密(str2)，再和POST上來(lái)的數(shù)據(jù)做比較(str1 == str2)，就可以確定身份了。

這樣做的好處在于，就算內(nèi)網(wǎng)出現(xiàn)了ARP欺騙，也不會(huì)泄露出用戶密碼。