## 📖 编者语

最近整理了一次EDU测试记录。

目标是一个校园餐监管平台。

刚开始测试时，我只是从登录功能入手。

页面需要手机号验证。

后续通过抓包分析登录流程，逐步发现了后台接口中的权限问题。

* * *

# 从登录页面开始测试

进入校园餐监管平台。

首页提供了手机号登录功能。

![图片](/media/202608/8743121206574c1f93f6374d4e2db91c1720.png)

![图片](/media/202608/92d797640c374e188a9a03480dc859747689.png)

看到登录功能以后。

我先测试了一下手机号验证流程。

随便上一个手机号测试,发现会进行验证。

所以联想到学校的食堂负责人电话。

官网或者学校通知应该有,懒得找,直接豆包搜索

![图片](/media/202608/6a9a71d7f37c49ae95f0086cd0f41fd29926.png)

输入手机号后，页面正常进入验证码验证步骤。

这时候开始关注：

系统是如何判断用户身份的。

* * *

# 测试登录流程

由于平台主要面向学校食堂相关人员使用。

登录账号可能和负责人手机号存在关联。

通过公开信息获取测试手机号后。

继续尝试登录流程。

* * *

抓取登录请求。

![图片](/media/202608/6ffe0623deff42299e241f171661806d3297.png)

查看返回数据。

发现部分认证信息直接返回到了前端。

返回内容中包含后续修改密码需要使用的数据。

继续跟踪后面的流程。

尝试使用返回的数据完成密码修改。

* * *

# 修改密码后进入后台

修改密码成功后。

重新使用账号登录。

成功进入系统后台。

![图片](/media/202608/65992ed8c8b04b24a221a48358a148dd9555.png)

登录之后发现。

移动端和PC端展示的功能并不完全一致。

PC端包含更多管理功能。

![图片](/media/202608/85feed0d191f406886084d186324ccaa7183.png)

后台中可以看到多个业务模块。

包括：

*   用户管理
    
*   信息管理
    
*   系统功能
    
*   数据查看

* * *

# 从一个接口参数开始分析

进入后台以后。

我没有直接测试功能。

而是先抓取几个接口请求。

其中一个用户信息接口引起了注意。

![图片](/media/202608/65eb83870be0449e8a41c8ef1cf150c94132.png)

请求中存在一个用户ID参数。

类似：

```
id=xxx
```

开始尝试修改这个参数。

* * *

修改ID后重新发送请求。

返回结果发生变化。

![图片](/media/202608/23301a00b8124be4b2ff3c2844d5d8094259.png)

继续测试几个不同的ID。

发现返回的数据并不属于当前账号。

* * *

# 去掉身份信息继续测试

继续分析接口验证逻辑。

尝试删除请求中的Session信息。

重新发送请求。

接口仍然返回数据。

![图片](/media/202608/a73cbfaf621949219749065cf0c3642e4197.png)

这说明接口在身份校验方面存在问题。

* * *

# 漏洞验证过程

![图片](/media/202608/05db731d59ed4e9382d14a7d28c841474145.png)

#

* * *

# 本次测试记录

![图片](/media/202608/bec6b36bd29048e894d52b91a025268f4584.png)

* * *

# 最后

这次测试从一个登录页面开始。

最开始只是确认登录流程是否正常。

后续通过分析请求参数和接口返回。

逐步定位到了后台权限控制问题。

漏洞验证过程主要围绕：

登录流程。

接口参数。

权限校验。

三个方向展开。

实战豆包EDU测试好帮手