不用答题也拿高分！虚拟仿真平台分数可任意篡改

三垣网安

2026年10月31日 23:56
湖南

去阅读

免责声明：本文仅用于安全技术研究学习，所有测试均在授权环境完成，严禁对未授权教育系统进行任何渗透、抓包、篡改操作。

00

[ 前言] .

在教育类 Web 系统当中，成绩计算、分数提交是非常核心敏感的业务逻辑。很多开发会把分数交由前端页面计算，提交的时候直接把分数参数传给后端。如果后端没有对分数做校验与重新核算，直接信任前端提交过来的score、chengji这类可控参数，攻击者只需要抓包修改请求参数，就能随意篡改考试、实验得分。

本次测试对象为某科技大学虚拟仿真实验教学平台，平台对外开放注册。普通注册账号无需任何特殊权限，抓包修改请求内的分数参数，即可随意修改考试成绩与虚拟实验分数，分数还会同步计入课程排行榜，直接扰乱教学考核。

01

[ 漏洞复现过程 ] .

1. 注册普通账号访问平台

2.找到考试功能

3.点击提交试卷，请求数据包中存在可控参数 chengji，该参数由前端页面进行计算之后传给后端。

1>原始数据包：chengji=1&shiyan=0

2>将chengji参数值修改为500，重放发包。

4.可以看到直接修改成功

5.业务影响

篡改后的考试成绩、虚拟实验成绩会真实存入系统，并且参与课程排行统计。恶意用户可以刷高分占据排行榜前列，破坏教学考核公平性。

03

[ 原理分析 ] .

这个漏洞属于典型的业务逻辑缺陷：

1. 分数的计算逻辑放在前端浏览器完成，后端不重新核算；
2. 后端没有对传入的分数做合法性校验，没有限制分数的最大、最小取值范围；
3. 直接把用户可控的参数写入数据库，攻击者通过抓包即可随意篡改。

很多开发者误以为前端页面的限制可以保障业务安全，但是前端所有参数都可以被抓包篡改，关键业务数据必须由服务端进行计算与校验。

欢迎关注我们

业务逻辑漏洞#edusrc