北大dean的session

前几天选暑期课程，进去之后发现url竟然是http://xxxxxxxxxxx.php？PHPSESSID=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx(此处没有留下真实网址，防止某些童鞋做坏事），居然直接把SESSION ID直接做为URL 参数，看了下session id的长度为32位，那么很可能是md5加密，我尝试登录了几次，得到几个不同的SESSION ID,找了些彩虹表反查了一下，遗憾的是没有查出来，也就是说明文的字段组合可能比较复杂，也可能添加了随机数或者随机字符串，或者做了多次md5，如果能反查出来，基本上我就可以构造各种SESSION ID,随意看别人的成绩了＝ ＝。还有种暴力的方法，那就是不管你明文是什么，我暴搜session id,不过2的128次方，还是洗洗睡吧。当然，由于使用dean的有几万人，爆搜的话还是可能会撞上别人的session id,至少概率大了很多。