Песочница

разработчик 80-го уровня 4 сентября 2013 в 16:21

Уязвимости сайта edu.tatar.ru

Привет, хабр! Я решил написать этот топик, так как ранее я искал уязвимости на этом всеми школьниками «любимом» сайте и таки находил, после чего отправлял их в техподдержку, где их активно (или не очень) исправляли. Но с последней найденной уязвимостью считаться не стали и поэтому я, только с чистыми помыслами, решаюсь опубликовать один старый баг и один новый, который багом не посчитали. Если вы дочитали до этого места, то добро пожаловать под хабракат.

Заранее прошу простить, если фото вдруг не будут подгружаться. Не знаю хостинга, который выдержит количество хабрааудитории.

Именно на этом сайте вывешиваются оценки по всем предметам сегодня в Татарстане, и, возможно, в других районах России. Именно этот сайт постоянно не работает в школе. Именно этот сайт проклинает каждый второй учитель. Прошу любить и жаловать -

Сначала довольно старый баг, который я отправил в техподдержку ещё в середине того учебного года, который ныне не актуален, но работал до 1 сентября этого года. Эту часть можете пропустить, она не так интересна, это всего лишь XSS инъекция.

На самом деле всё довольно просто, вы просто переходите по этой ссылке и добавляете к ней простейшую XSS инъекцию -

Не копируйте, а лучше запомните, так как 1 символ заменён для корректного отображения на хабре.

В итоге любой пользователь, знакомый с XSS мог сделать что угодно. Теперь новая уязвимость, которая до сих пор(04.09.13-16:02МСК) работает.

Основана она на довольно банальной подмене цифр, изначальный адрес можно видеть на скрине, но я сократил до минимально приемлимого , чтобы баг работал.
Как вы поняли, нам нужно изменять не всю ссылку, а лишь цифры после %2F , к примеру
/show/?img_file=%2Fupload%2Fanketas%2F100005.jpg
изменять на
/show/?img_file=%2Fupload%2Fanketas%2F100004.jpg
таким образом получая всё новые и новые фото (я и не знал, что так много пухлячков любят загружать свои фото в анкеты на edu.tatar).

Всем спасибо за внимание.

Теги: edu.tatar.ru, образование, xss, инъекции, компроментация, фото

Данная статья не подлежит комментированию, поскольку её автор ещё не является полноправным участником сообщества. Вы сможете связаться с автором только после того, как он получит

Дистанционный контроль за ходом образовательного процесса позволяет родителям не только своевременно получить актуальную информацию об успеваемости ребенка и проверить электронный дневник и оценки, но и лучше разобраться в методах и специфике обучения. Электронное образование (еду татар точка ру) – портал госуслуг, с помощью которого удобно следить за жизнью и успехами детей в школе.

Номенклатура

Сайт edu.tatar.ru имеет сложную номенклатуру, но достаточно прост в управлении. При переходе на его главную страницу, в верхней части шапки сайта появляются четыре кнопки:

• Организации. При нажатии на нее, открывается список регионов в алфавитном порядке, из которого необходимо выбрать свой. После выбора региона снова открывается страница с несколькими кнопками – Дополнительное, Дошкольное, Школьное, Профессиональное образование и другие образовательные организации, из которых нужно выбрать интересующий тип. После нажатия на выбранную кнопку откроется список организаций данного типа, присоединенных к системе. При этом каждая организация Татарстана в списке представлена в виде активной ссылки, перейдя по которой можно узнать актуальные данные;
• Ученику. При нажатии на эту кнопку, открывается электронный список виртуальных факультативных курсов по школьным предметам (точные и гуманитарные науки, искусство и др.). При переходе по ссылке, появится форма для заполнения, которая позволит войти на сайт. Можно зарегистрироваться самостоятельно или войти с использованием данных ЕСИА. После авторизации на сайте РТ открывается доступ к онлайн-курсам. В этом же разделе представлен электронный дневник;
• . По аналогии с предыдущим разделом, в этом собраны дополнительные материалы и методические указания для учителя по тому или иному предмету, а также рекомендации по методической работе, внеклассным занятиям. После перехода в выбранный подраздел, как и в предыдущем случае, открывается форма для заполнения, с помощью которой необходимо войти на сайт;
• Дистанционное образование. В этом разделе госуслуг на портале электронного образования Республики Татарстан edu.tatar.ru собраны материалы и необходимые данные для осуществления дистанционного образования, которое можно осуществлять в домашних условиях за компьютером. После нажатия на данную кнопку на главной странице, открывается форма авторизации на ресурсе РТ. После ее заполнения появляется доступ к необходимым материалам. Иногда в этом разделе представлены аналоги электронных дневников.

Навигация по ресурсу электронного образования Татарстана простая. Найти ту или иную функцию можно достаточно быстро. Удобное разделение по разделам и минимум лишних ссылок на страницах помогают быстро и просто ориентироваться на портале даже тем, кто зашел туда впервые.

Авторизация

Большая часть функций интернет-сайта доступна только после авторизации на портале. Исключением является только информация об организациях Татарстана, представленная на ресурсе в свободном доступе. Для того чтобы узнать актуальные текущие данные об их деятельности нет необходимости авторизоваться. Почти все остальные функции доступны только после входа.

Для того чтобы войти на сайт edu.tatar.ru можно действовать следующим образом:

1. На главной странице сайта с правой стороны расположена электронная форма для заполнения, в которую необходимо ввести учетные данные для пользования ресурсом (данные выдает администрация школы или классный руководитель);
2. Также можно войти через систему – Единую систему идентификации и аутентификации, для этого нужно нажать ссылку под основной формой для заполнения;
3. Откроется форма, в которой необходимо заполнить поля «Мобильный телефон» и «Пароль», с помощью которых будет осуществлена авторизация;
4. На этой же странице можно выбрать пункт «Войти в систему с помощью СНИЛС»;
5. Откроется другая электронная форма для заполнения.

После заполнения всех необходимых полей формы и нажатия кнопки «Вход», посетитель получает доступ ко всем функциям ресурса Татарстана edu.tatar.ru. При этом, войти на сайт можно как на главной странице, так и на любой из тех, где представлены материалы, доступные к просмотру только после авторизации.

Электронный дневник

Проверка успеваемости – одна из самых частых причин, почему родители используют данный сайт. Для того чтобы проверить оценки в школе через интернет, нужно зайти на сайт и авторизоваться, заполнив форму входа. После этого действовать согласно алгоритму:

1. Выбрать ссылку «Ученику»;
2. Найти соответствующий раздел;
3. Выбрать свое учебное заведение по названию;
4. Ввести фамилию или найти его в списке учащихся;
5. Появятся необходимые данные.

В этом разделе можно узнать не только оценки ученика Татарстана, но и сведения о посещаемости. Также в этом разделе бывает представлен список дополнительных занятий, обязательных или не обязательных к посещению.

Кроме того, раздел оснащен следующими полезными функциями:

1. Сведения о домашних заданиях;
2. Методические рекомендации по ходу образовательного процесса;
3. Замечания и примечания (как в бумажном дневнике);
4. Меню питания в столовой;
5. Быстрая связь с педагогом через переписку.

Наличие электронного дневника на еду.татар.ру упрощает образовательный процесс, как для родителей, так и для ребенка.

На текущий момент дистанционное развитие, а также повышение профессиональной квалификации – это один из самых распространённых методов обучения. В Республике Татарстан большой популярностью среди школьников, учителей и преподавателей пользуется веб-сервис Еду Татар точка ру.

Направления дистанционного обучение и развития

На текущий момент Еду Татар точка ру разделен на четыре основных направления:

1. Электронное образование для учеников младшей, средней и старшей школы;
2. Улучшение преподавательских навыков для учителей и преподавателей при помощи интернет технологий;
3. Улучшение образования для организаций;
4. Удалённое электронное обучение людей со слабым зрением.

Материалы и информация

На сайте, исходя из направления, расположено большое количество различных обучающих материалов, например:

1. Виртуальные факультативы;
2. Ссылки на веб-ресурсы и порталы с актуальной информацией;
3. Информация и контакты дополнительных обучающих заведений, а также заведений специализирующиеся на дошкольном развитии.

Для получения полного перечня информации и доступа к материалу необходимо зарегистрироваться и зайти в личный кабинет.

ЕДУ ТАТАР РУ - ОБРАЗОВАНИЕ В ТАТАРСТАНЕ (КАК СОЗДАТЬ ЭЛЕКТРОННЫЙ ДНЕВНИК)

В последнее время большой популярностью у людей, которые хотят продолжать обучение, пользуется электронное образование . С интересным и полезным опытом можно ознакомиться на сайте еду татар ру,как получить так называемое электронное образование.

На данном сайте размещены абсолютно все учебные заведения Республики Татарстан: от дошкольного образования до профессиональных учреждений. Они все имеют четкую структуру по районам региона. Сайт еду татар ру электронное образование предоставляет настолько полную информацию, что любой может выбрать для себя или своих детей необходимое учебное заведение . Сайт предоставляет возможность познакомиться с преподавателями и учителями, с программой заинтересовавшего обучения в том или ином учебном заведении, а также подать заявку на поступление в выбранное учреждение.

Сайт еду татар ру, посвященный электронному образованию, размещает самую полную информацию о проводимых мероприятиях и всевозможных конкурсах, которые проходят в области образования в Республике Татарстан и направлены на заинтересованность в повышении уровня знаний и расширение образовательного кругозора учащихся региона.

Edu является фактически электронным дневником цифрового образования. Любое учебное заведение Республики Татарстан может принять участие в данном полезном проекте. Нужно лишь заполнить на еду татар ру необходимым содержанием карточку по электронному образованию. У каждой школы Республики Татарстан на еду татар ру электронный дневник есть свое специально выделенное место для создания своей интернет-страницы с системой управления.

Работа администратора заметно упрощается с помощью ресурса в интернете, где заполняется электронный дневник образовательного учреждения. Чтобы заполнить страницу на еду татар ру электронный дневник, не нужно покупать и оплачивать интернет-сайт. Система администрирования очень проста и позволяет любому человеку легко справиться с предложенными возможностями конструктора сайта.

Чтобы не возникало каких бы то ни было проблем с бесперебойной работой с порталом татар ру, электронный заполняемый дневник необходимо создавать в браузере Internet Explorer. Другие браузеры, такие как Safari или Opera, порой, работают не очень корректно с edu и заполнением электронного дневника. Иногда возникают такие проблемы, как, например, невозможность сохранения результатов, недоступность кнопок управления и другие.

Сначала необходимо зайти на татар ру, указав свой логин и пароль. Электронный дневник для администратора откроется, когда тот, в свою очередь, со своей страницы зайдет на edu.tatar.ru/admin.

Еду татар ру электронный образовательный дневник предлагает прохождение дистанционного курса обучения в самых разных дисциплинах. В подобном дистанционном образовании могут принять участие не только жители Республики Татарстан, но и другие посетители интернет-сайта. Необходимым требованием на еду татар ру электронный дневник является обязательная регистрация, позволяющая заходить в личный кабинет и оттуда уже управлять процессом своего обучения.

Сайт будет весьма полезен не только для учеников, но и для преподавателей, поскольку там имеются все необходимые методические указания для работы с детьми и для правильной подачи нового материала по любой дисциплине. Для этого также надо пройти обычную процедуру регистрации.

ЭЛЕКТРОННОЕ ОБРАЗОВАНИЕ В ТАТАРСТАНЕ

Общеобразовательным школам уже нет необходимости задумываться над тем, как создать свой интернет-сайт, не нужно создавать исходник проекта своей интернет-страницы, платить немалые деньги за размещение информации, а затем и за сопровождение школьного сайта.

Теперь все общеобразовательные школы Республики Татарстан могут абсолютно бесплатно разместить все свои данные на сайте edu tatar ru, где вся подробная информация заносится в электронный дневник. Система администрирования на интернет-страничке очень проста. Она доступна любому учителю, который вполне может справиться с размещением необходимой информации.

В настоящее время доступ к порталу татар ру, на котором находятся все электронные дневники, ограничен.

Для того, чтобы зайти на портал edu tatar ru с электронным образованием в качестве гостя и посмотреть информацию своей интернет-страницы, сначала надо набрать адрес edu.tatar.ru и ввести там логин «tatedu» и пароль «tat09».

Но если вы хотите зайти в систему edu tatar ru, которая занимается электронным образованием, в качестве администратора своей страницы или страницы учебного заведения, то надо набрать адрес edu.tatar.ru/admin. В этом случае пароль и логин вы можете узнать, позвонив по следующему телефону - 246 26 07.

Для начала работы в системе edu tatar ru, в которой можно заполнить электронный дневник своего образовательного учреждения, обязательно необходимо познакомиться с подробной инструкцией по пользованию системой. Иначе могут возникнуть разные ошибки, приводящие к дублированию работы.

В адресной строке наберите адрес edu.tatar.ru/admin/. Перед вами сразу появится форма авторизации. Пользователь системы татар ру, заполняя электронный дневник, для начала вводит персональные логин и пароль. После их ввода необходимо нажать на «Вход в систему». Если действия произведены вами правильно, пользователь обязательно должен попасть на страничку «Личного кабинета». Если логин и пароль введены неверно, вам будет сразу сообщено об ошибке.

Проблемы работы на сайте edu tatar ru, посвященного электронному образованию, и простые способы их решения:

чтобы подключить на компьютере через прокси-сервер майл-агент, необходимо в настройках указать прокси-сервер, а также выданные пользователю логин и пароль в системе ЭовРТ;

возникшая проблема: после того, как проведена авторизация, стационарные компьютеры (которые подключены по проводам в локальную сеть через витые пары) иногда зависают и выскакивает запись «авторизация в почте». Разрешить эту проблему можно следующим образом: наберите адрес edu.tatar.ru, нажмите ENTER (без \logon). После этих манипуляций сразу откроется анкета;

иногда родители сталкиваются с проблемой перевода в середине учебного года своих детей из одного класса в другой. В этом случае нажмите в редактировании профиля ученика кнопку «ПЕРЕМЕСТИТЬ»;

если вы пользуетесь ноутбуком, то часто может происходить обрыв связи и появляется окно с записью «НЕТ ДОСТУПА». Обрыв может произойти, когда подключается к системе новый ноутбук. Уже замечено, что примерно через 50 секунд происходит переподключение, поэтому лучше переждать минуту после обрыва связи. Переподключение в Windows происходит автоматическим образом. Однако, если этого не произошло, тогда надо произвести следующие действия:
1) обновить поиск сетей WI-FI,
2) сначала отключить, а потом сразу же включить на ноутбуке WI-FI (на компьютере ray нажать комбинацию клавишей FN + F7 - выделенным цветом); 3) в самом крайнем случае - перезагрузить компьютер, в результате чего подключение может снова восстановиться;

поскольку на сайте нет готового трафарета учебного плана, поэтому можно полностью сделать с нуля свой собственный. Для этого необходимо зайти в качестве пользователя-администратора «Моя школа». Затем зайдя в раздел «Учебные планы», найдите «Индивидуальный план» и введите все предметы по классам (НАСТРОЙКИ появляются, как только ставится галочка и сохраняются текущие позиции). Следующий шаг - зайдите в раздел КЛАССЫ. Выбрать для класса созданный Индивидуальный план. Затем надо нажать на «сохранить» и зайти в «РАСПИСАНИЕ». Предметы учителям назначаются в разделе «Сотрудники»;

последовательность «ДЕЛЕНИЯ НА ГРУППЫ» будет следующая. Сначала надо зайти от «Директора школы». Появится «Моя школа», выбираем «Классы», далее «Пг». После этого добавляем «Подгруппы класса» по всем предметам. Все сохраняем. Затем выбираем «Список классов», «Уч» и спокойно начинаем распределять учеников по группам. Всю информацию опять сохраняем. Поскольку за преподавателями закрепляются соответственные уроки («Сотрудники»), то расписание обозначит группы. Теперь распределите преподавателей по группам.

2) лучше поставить 10.7.37.2:8080 - статический прокси, а не http:\\proxy.sch (возможно 10.7.37.3:8080);

3) журнал появится, если заходить в качестве директора школы и все утверждать. Надо добавить всех учителей и учеников, распределить по учителям предметы, внести классное расписание и все утвердить. Только после этого появится журнал, а у учащихся - дневник;

4) на стационарных компьютерах лучше заводить профили как для учеников, и устанавливать их там так же, как на ноутбуках, сохраняя при этом. Позже не забудьте запретить сохранять пароли в браузере. Необходимо удалить предыдущие настройки от govtatar, это можно провести через «Панель управления - учетные записи»;

5) делайте подключение WI-FI автоматическим;

6) для того, чтобы в ноутбуках по WI-FI открыть интернет, надо зайти на edu.tatar.ru вначале без прокси, а под своим паролем и логином. Нажмите на кнопку

Практически каждый российский регион уже успел внедрить массу виртуальных сервисов, призванных упростить доступ граждан к большинству государственных услуг. А одной из важнейших частей процесса информатизации оказалась разработка максимально удобных и функциональных образовательных порталов. Так, электронный дневник республики Татарстан позволяет зарегистрированным пользователям получать широчайший спектр информации, способной заметно повысить качество образования.

Важной отличительной чертой татарстанского учебного онлайн-сервиса является присутствие не только стандартной базовой информации об обучении ребёнка, но и наличие специальных учебных ресурсов, призванных упростить доступ учеников к знаниям. Понравится школьникам и их родителям и удобный интерфейс, позволяющий быстро перемещаться между страницами и моментально открывать нужные вкладки.

Чтобы понять, насколько важным и полезным окажется новый сервис, необходимо разобраться в его основном назначении. Понять, для чего создавался портал электронного образования, несложно, ведь главная цель, которая преследовалась при его создании, заключается в упрощении доступа к учебной информации.

С его помощью ученики, учителя и родители смогут постоянно оставаться в курсе всего происходящего в школе, не переживая о том, что какая-то важная новость останется им неизвестна. Одной из важнейших положительных сторон цифрового сервиса можно назвать его доступность. Чтобы получить доступ к виртуальному журналу, достаточно посетить сайт и ввести пароль. То есть, для входа в систему требуется лишь доступ к интернету.

Ещё одним плюсом, который нельзя оставлять без внимания, является полнота и достоверность имеющейся на сайте информации. Большая часть данных добавляется в цифровой дневник учителями, потому всему написанному в нём можно верить. При этом школьник не сможет потерять или забыть дневник, чтобы не получать плохую оценку. Виртуальный журнал всегда остаётся под рукой.

Функционал дневника

Следующий пункт, в котором обязательно необходимо разобраться, связан с важнейшими функциями электронного дневника РТ, доступными зарегистрированным пользователям. На текущий момент авторизованные посетители портала способны:

• просматривать оценки и получать информацию об успеваемости (включая средний балл на основе не менее трёх отметок);
• следить за посещениями ученика уроков;
• уточнять заданную домашнюю работу;
• знакомиться с расписанием и точным графиком звонков;
• поддерживать обратную связь с учителями и получать сообщения от них;
• пользоваться имеющейся на сайте учебной базой;
• своевременно узнавать об интересных мероприятиях и запланированных конкурсах;
• редактировать некоторые личные данные.

То есть, описываемый сервис представляет собой практически полную цифровую копию обычного бумажного дневника школьника. Но его функционал и возможности несколько шире, что делает его полезнее и удобнее для использования.

Регистрация

Одной из важнейших особенностей электронного дневника республики Татарстан edu.tatar.ru является установленный разработчиками порядок регистрации. Ни один пользователь не сможет создать собственную учётную запись самостоятельно. Чтобы получить возможность пользоваться цифровым дневником, необходимо предать все важные персональные данные ответственному за регистрацию администратору. Если этих данных окажется достаточно для создания аккаунта, он всё сделает самостоятельно.

Чтобы получить логин и пароль для входа на портал, необходимо лично посетить классного руководителя ребёнка и попросить упомянутые комбинации у него. Иногда пароль находится у специально назначенного для работы с системой человека. Но уточнять этот факт придётся также при разговоре с классным руководителем.

Электронный дневник республики Татарстан – войти в «edu.tatar.ru»

Определившись с правильным порядком регистрации, можно переходить к изучению процедуры авторизации в электронном дневнике республики Татарстан. Вход в личный кабинет предельно прост и точно не вызовет у его владельцев огромных затруднений. Чтобы посетить персональный аккаунт, понадобится:

1. открыть официальный сайт на главной странице;
2. ввести в расположенные справа поля полученные ранее комбинации логина и пароля;
3. нажать кнопку с надписью «войти».

После чего останется дождаться загрузки новой страницы, и вход в личный кабинет окажется полностью завершённым. Родители и ученики получат возможность работать в системе и просматривать необходимую им информацию.

Вход в личный кабинет через ЕСИА

Помимо указанного подхода к посещению персонального аккаунта, желающие авторизоваться способны воспользоваться вторым методом. Он позволяет так же быстро получать нужные сведения, не посещая при этом портал edu.tatar.ru (электронный журнал). Вход в личный кабинет осуществляется через официальный портал государственных услуг. При этом посетить страницу авторизации можно как напрямую, сразу открыв сайт Госуслуг, так и предварительно заглянув в образовательный сервис. В любом случае пользователям придётся:

1. выбрать в качестве способа входа в систему ЕСИА;
2. ввести пароль и логин от государственного портала;
3. выбрать в предложенном перечне услуг «образовательные»;
4. ввести необходимые данные об учебном учреждении и школьнике;
5. осуществить запрос необходимой информации.

Важно подчеркнуть, что в отдельных ситуациях описанный процесс может иметь отдельные особенности и нюансы, которые не влияют на общий порядок авторизации.

Версия для слабовидящих

Большим плюсом образовательного сервиса можно назвать наличие специального удобного варианта просмотра необходимой информации для слабовидящих. Чтобы переключиться на данный режим, достаточно кликнуть соответствующую надпись на правой стороне верхней панели.