最近領導打算開展內網安全測試，我思考着也學習學習網絡安全的技術吧，研究了幾天，在內網裏也沒弄出個啥明堂，看來安全技術是一門高深的學問呀，正準備放棄，看了一眼旁邊正在互聯網上掛課的筆記本，內網搞不定，把這掛課的網站搞一下試試。
怎麼搞，肯定要搞最有用的，快速掛完課程肯定是我這種不愛學習的人，最需要的，動手。
根據多年掛課經驗，每次學習結束後點擊“退出”按鈕時，服務器會去計算學習時長，用瀏覽器觀察了一下點擊退出後，都發生了設麼。
發現”EditStudentLessonCourseWare”發送一個POST請求，那這個請求又向服務發送了哪些數據呢？
作爲一個技術小白，肯定是沒看懂，但最前面的JSON提示了我，找在線工具翻譯一下：
“studyTime”,這不就是學習時長麼，如果把這個時間改一下，會不會達到迅速掛滿課時的效果呢？
BurpSuite軟件有一個代理劫持功能，簡單的說就是，設置一個代理，網頁發送的POST先經過代理，再發送給服務器，在經過代理的時候，可以把POST請求內的參數進行修改。上效果圖。
修改的時候以爲，以爲時間是按秒計算的，多按了幾個“9”，我這數學果然是體育老師教的。
思考：網站在前端通常會對用戶的輸入做嚴格的檢查，但對數據進入服務器時，缺少了對數據合法性的檢查，所以數據在傳輸的途中被竄改，服務器不檢查，照單全收，就是問題所在。這次我只是把學習的時長改大了，這些數字直接進了數據庫，那我要是輸入一些惡意代碼（sql注入漏洞代碼）呢？我不敢想了，我的行爲已經太危險了。
備註：已經把我修改學習時長的過程，給網絡學院的技術團隊發送了文檔，希望他們儘快修改吧。