奇怪app「超级课程表」是怎么抓取高校教务系统的课程信息？

[foru17]

这个app的流程是这样的
1.打开「超级课程表」，提示邮箱注册
2.提示输入 学号 和密码 （自己学校教务系统的）
3.然后就抓取到课程信息了
我的学校教务系统是
http://jwc.jnu.edu.cn/web/login.aspx

有几个问题
1.虽说我想没几个人会想着去拿这些学生账号密码干什么事情？可是这种要输入学号和密码的行为（看国内教务系统那蛋疼的架构，开放API的可能性大么？），难道密码是明文储存？
像我们学校系统，通过学号和密码，就能进入系统查看详细的个人信息（身份证，家庭地址，父母信息），这样还是有风险吧？
2.现在高校教务系统的漏洞多到什么程度？

[quake0day]

1、有风险
2、不是很多
我以前也做过这个系统信息的抓取和解析
http://www.darlingtree.com/wordpress/archives/314
http://www.darlingtree.com/wordpress/archives/287

[dndx]

既然要了用户名和密码，应该就不是利用漏洞了吧，应该是模拟登录 ＋ HTML分析得出的结果。

不过国内教务系统漏洞的确多的要死，越权访问一大堆，比如号称清华开发的某教务系统，只要登录进去（随便什么帐号都行）就能看到别人的课表甚至老师的课表，技术水平实在不敢恭维。

[koon_kai]

这个应用是我学校的学生做的，具体也没去了解过。

[mew7wo]

貌似大多数学校用的教务系统都是一样的，所以解析应该不难。

[humiaozuzu]

就是模拟登录然后解析json的。。。 而且我也做了我们学校的web版 = =

[kojp]

模拟登录 ~~~~ 但我没成功过。

[sophy]

我写过我们学校的，查成绩用的

[Semon]

为什么没人觉得是和各大高校谈好然后做接口的呢？

[fly2never]

很多系统都是那个正方做的

[humiaozuzu]

@Semon 这个很明显不需要谈，fiddler抓包5分钟搞定。

[Semon]

@humiaozuzu 如果这样输入密码不就是个很傻并且会影响产品发展的事么？作者会那么笨么？

[humiaozuzu]

@Semon 这种第三方的都是可以保存用户密码的，而且没有办法。 而且大部分用户是不知道这些的。

[wcp1231]

验证码也是直接识别的？