Fırat Üniversitesi Öğrenci İşleri Otomasyonu

18 Ocak 2012 Çarşamba

Güzel üniversitemin,güzel otomasyonunda küçük bir açık varmış yıllardır.Bu açık sayesinde okul numarasını bildiğiniz bir kişinin notlarını görme,ders kaydını yapma gibi işlemleri gerçekleştirebiliyorsunuz.Üniversite içinde bilmeyen adam da yoktur sanırım bu açığı.Geçen günlerde bu açığı bir nebze de olsa kapatmışlardı Bilgi İşlem Dairesi,ya da kapattıklarını sanmışlardı.

Kaynak kodlarında ki bazı kod öbeklerinde değişiklik yaparak tekrar erişebildiğimi farkettim.
Uzun bir incelemeye alarak kim bilir daha neler çıkacak.

Bu kısmı daha önce bu açıktan haberdar olmayanlar için anlatıyorum.
Öncelikle http://otomasyon1.firat.edu.tr adresinden otomasyona giriş yaptıktan sonra
f12 tuşuna basarak Geliştirici Aracımızı açıyoruz.
( Otomasyon'a sadece internet explorer ile giriş yapılabiliyor.Benim gibi mozilla firefox taraftarları içinde user agent switcher eklentisiyle fü öğrenci işleri otomasyonuna firefox'dan girebilirsiniz.-)
Geliştirici aracımızı açtıktan sonra sırasıyla

<html>
<body bgProperties="fixed" bgColor="#d3e4e5" onload="flushing();">
<center>
<form name="Form1" method="post">
<input name="Numara" type="hidden" value="xxxxxxxx">
xxxxxxxx yazan yerde kendi okul numaranız yazıyor.Bu kısmı değiştirerek notlarını öğrenmek istediğiniz kişinin numarasını yazıyorsunuz.

Buraya kadar zaten bilinen şeylerdi.Asıl olayımız şu kod parçacığında.
<input name="UserType" type="hidden" value="3">

Buradan da value "2" yapıyoruz ve gerekli erişimi sağlıyoruz.

Umarım en yakın zamanda otomasyon'u değiştirirler.

7 yorum:

Adsız dedi ki...: Malesef günümüzdeki bilişim çalışanları sanırım çok çalışıp uykusuz kalarak böyle ufak ama etkili güvelik açıkları vermektedir...Umarım devletimiz daha iyi eğitimli arkadaşları aralarına alır.; 21 Ocak 2012 22:30
Canberk Bolat dedi ki...: Insecure Direct Object Reference :); 17 Şubat 2012 11:26
yucel dedi ki...: @Canberk Bolat teşekkürler efenim,; 18 Şubat 2012 00:02
Adsız dedi ki...: Şuan olmuyor. Acaba ben mi yapamadım? Hala çalışıyor mu?; 26 Nisan 2013 22:44
Adsız dedi ki...: Merhaba,
Programınız gayet güzel çalışıyor. Fakat sadece notları değil de otomasyonun ilk ekranı(fotonun vs. bulunduğu ekran)nasıl görüntüleyebiliriz. Kodları değiştirerek nasıl yapabiliriz. Bu konuda yardımcı olursanız sevinirim..
Teşekkürler.; 1 Mayıs 2013 12:28
yucel dedi ki...: @Adsız1 kısayol "F12" olmazsa, Araçlar/F12 Geliştirici Araçlarından da açabilirsiniz.Şuan işe yarayıp yaramadığını bilmiyorum fakat http://otomasyonfirat.uni.me sitesinden erişim sağlayabilirsiniz.
@Adsız2 İstediğiniz işlem biraz illegaliteye kaçtığı ve hangi menfaatler doğrultusunda kullanacağınızı bilmediğim için maalesef yardımcı olamayacağım kusura bakmayın..; 4 Mayıs 2013 15:57
Adsız dedi ki...: merhabalar yücel. benm okulumda da aynı açık varmış diye duydum arkadaşlarımdan ama bir türlü yapamadım.
Sisteme şifremizle ve okul numarasıyla giriş yaptıktan sonra mı F12'ye basmamız gerekiyor?
Ayrıa yukarıda verdiğin kodları benm okulumdaki kodlar arasında bulamadım. Tam olarak nerede?; 3 Mart 2014 22:25