记一次校园类app任意登录

记一次某校园app信息泄露+任意用户登录漏洞

信息泄露

1. 先用普通的用户登录系统，测试一下功能点

2.看到这个app有查看班级，交作业的功能，测了这些功能但是一无所获。
发现有个人的消息页面

3.看到这些消息想着都点开看看吧，发现了在请假的接口上面有信息泄露

4.我们点击这个审核提醒并抓包，发现请假这个功能有接口请求

url：http://www.xxx.com/app/new/studentleave/info?=123
这个功能是用来查看自己的请假信息的
发现接口传参的是数字，那还说啥了，遍历走起~
这类查询信息的接口，特别是查询的信息还是自己的，参数都要遍历试试，看看能不能获取到别人的信息。

这里跑出了其他学生的请假信息，里面包含：
姓名 手机号 身份证 请假原因
个人id（其他学生的登录id）
更搞的是班主任的个人id居然也在请假的接口里面
因为班主任是审批人

通过直接替换用户id的方式加上发现的就能登录任意登录所有的账号。因为我们的这个学校请假是必须要在这个软件上面审批的，所以上面基本上所有学生的个人信息和相关的班主任信息都能找到

任意用户登录
漏洞点就是这个app对用户的身份校验是通过发包中的参数字段来判断的，在这里的鉴权参数是user_id=xxxx。不管是什么功能都会发一个这个字段，一眼看上去就和用户的权限啊，id啊这些有关。直接替换为其他用户的id就能实现任意登录了

老师的消息界面：

最后可以登录成任意老师和学生的账号
拥有老师的权限，功能点也可以正常的使用
比如对学生信息的管理和修改，可以给自己请假了（雾

图中的漏洞已经提交平台不要做未授权的漏洞挖掘。