-->
当前位置:首页 > DayDayUp > 正文内容

正方教务系统v7.2.7学生照片信息查询

Luz3年前 (2021-10-10)DayDayUp7448

前言

image.png

正方升级新版本以后对以学生权限进行的操作进行了很大的限制,但针对教师用户限制少很多,导致获取学生信息成为可能。

准备

找到一个教师账号(别问我哪来的,弱口令试一下都能找到很多,还有初始密码zfsoft123也能试出来一批)image.png

教师面板

利用方式

image.png

可以看到并管理员并没有开启教师的学生信息查询权限


image.png

image.png


点击学生名单查询后会出现教师开课班级信息,并可查询班级内学生信息(但这里无法查询到学校其他学生信息)

学生照片获取

这里可以找到照片查询接口

image.png

image.png

http://URL/jwglxt/xtgl/photo_cxXszp.html?xh_id=学号&zplx=rxhzp

照片可以查询可以直接可以用了

学生其他信息获取


image.png

抓包拿到信息查询接口:

/jwglxt/xsxkjk/xsxkcx_cxViewXsxx.html?time=1633869811553&gnmkdm=N255005&su=

POST提交了两个参数:xh_id ; xh_id_code

xh_id是要查询学生的学号

xh_id_code是学号的序列号?

找一下xh_id_code哪里来的

image.png

发现是请求班级里学生信息的时候后端返回的

修改一下查询的班级信息(你问班级号?查一下自己课表或者学校选课表就有很多)

image.png

查到了不是这个老师课程的班级信息

拿一个这个班级学生的xh_id和xh_id_code来试试

image.png

成功拿到学生信息

发表评论

访客

◎欢迎参与讨论,请在这里发表您的看法和观点。