来，既然你们要本着技术良心，那我就直接说清楚知行理工的问题

二楼喂狗

2. 协议问题
云华-智慧校园这套系统的验证协议位Ticket协议，其生成方式为【MD5("yunhua" + number + code + KEY)】 ，其中number为学号code为密码，key为公开的功能函数KEY，可以从list.action获取。
也就是说，这套Ticket协议没有任何时间校验，服务端也不知道这个Ticket是什么时候生成的。
在学校环境下，直接开一个CQUT的WIFI拉一群人的手机进来可不是什么问题，中间人抓包明文的Ticket，一次抓取终身可用，除非换了KEY或者改了密码。
这就意味着，一个人的账号如果被HACK，那么在他没有察觉，系统不更改KEY的情况下，你可以永久靠这Ticket去获取对应功能数据。比如成绩，一卡通，等等。

3. 权限不严
学校又犯了一个权限问题：任意用户登陆以后可以随意查看他人的一卡通消费记录。这个问题和学工系统登陆以后可以爬取全校学生的证件照是一个道理。
问题发生在服务端，服务端在确认请求之前应当确认当前登录用户和请求用户是否一致。比如：你以crazychen的身份登陆，那自然只能获取crazychen的消费记录。
但是现在，你以crazychen的身份登陆以后，你却可以获取全校所有人的消费记录。
明明是服务端应该做session比对和权限校验的地方，最可笑的是你跟我说是HTTP协议缺陷，我也就不难思考为什么我们学校和重邮有这么大的差距了。

4.APP === 知行浏览器，这个是真的
还不如直接用一个浏览器。
整个APP就两个TYPE，标志为1就是native功能，可惜native的也就一个地图还有几个小的东西，然后标志为2的全部是WebView。
最搞笑的是丢到检测平台还被爆了个洞，可能导致恶意的WebView功能交互。
你一个20M的东西，能做的有诚意一点嘛？

5。最重要的：明文传输
这套系统的所有HTTP数据都是明文的。
任何一个中间人都能够完整抓取你们的响应内容，包括你们一卡通的时候银行卡卡号，登陆时候个人的全部信息，课表信息成绩信息。。。。对中间人来说全部是透明的。
所以我就不想解释什么了。
我想起某个老师说“要上证书的话一次签10年，不然懒得换”，那我也就不做什么评价了

另外，to某位老师，我不过是个半罐水，我在这里也只是为了混淆视听。
我出于安全目的反编译了你们的APP，没有经过云华的许可，所以我需要道歉。
我出于安全目的给你在回帖里面说了一些问题，没有私下跟你说，所以我是秀技术的半罐水。
所以按照这个逻辑：
乌云上所有的白帽子都是该死的，因为他们没有经过许可就反编译他人的程序，他们没有私下去跟厂商说明问题而是选择公开在乌云。
那这个世界需要做安全的干嘛？阿里的那五个人也是一个意思咯？

这账号快一年没用了，要不是今天闲的无聊看访问记录追到这个帖子，我本来都是把贴吧给黑名单掉的。
@投江的鱼 哪里说错了？他说的全部是现有的缺陷。
然后这位老师上来就扣个帽子云云。看这位老师的逻辑我是越看越想笑，上来跟他说两句存在的问题，我就成了混淆视听的人了。
这帽子还真是大哈，我一个没技术的半罐水可真担待不起。

本来一个可以好好交流解决的问题，非要用一个所谓的老师视角去教育学生。
所有的学生都是半罐水？
所有的老师做了十几二十年的就一定是权威？
人家在干了十年都达不到所谓的专家级别，你能保证做了十几年一定是权威？
你不说这句话我都还没什么，你说了这句话再跟我说前面的问题是HTTP协议缺陷，那我就真的只有想想到底谁才是半罐子水了。

不要搞大新闻，好好玩吧