企业二维码签到系统伪造报告.docVIP

企业二维码签到系统伪造报告

一、伪造行为的常见手段与场景

（一）技术破解类伪造

二维码复制与复用在一些企业的签到系统中，二维码仅作为静态标识存在，未设置有效时间或唯一验证机制。员工可通过截图、拍照等方式将自己的签到二维码保存，然后发送给未到岗的同事，由其在签到设备前展示截图完成签到。这种方式操作门槛极低，无需专业技术知识，仅需借助手机的基本功能即可实现。例如，某销售公司的外勤人员为了应付考勤，会将自己的签到二维码提前发给在公司的同事，同事在规定时间内用截图帮其完成签到，而系统无法识别图片与真实二维码的区别。还有部分企业的签到二维码虽然有一定的时效性，但有效期设置过长，如长达一天甚至一周，这就给了员工可乘之机。他们可以在有效期内多次使用同一二维码截图，或者将截图分享给多人使用。

模拟签到请求具备一定技术能力的员工，可通过抓包工具获取签到系统的网络请求数据，分析其中的参数和加密方式。之后，利用编程工具模拟生成符合格式的签到请求，直接发送给服务器，从而绕过前端的二维码扫描验证环节。这种方式需要对网络通信和编程有一定了解，但随着网络技术的普及，越来越多的人掌握了相关技能。比如，某互联网公司的员工发现公司签到系统的请求数据仅包含员工ID和签到时间两个参数，且未进行加密处理。于是，他编写了一个简单的脚本，每天在规定时间自动向服务器发送包含自己ID和当前时间的请求，实现了“远程签到”，而实际上他