SoulByte07/Reverse-Engineering-Report

# TradeIQ Academy — 技术审计报告 对 [TradeIQ Academy](https://trade-iq-deploy.vercel.app/) 的逆向工程与安全评估。这是一个使用 React Native / Expo 构建的投资银行销售与交易模拟平台。 ## 目录 | 文件 | 描述 | |------|-------------| | `tradeiq-technical-report` | 涵盖 UX、功能、扩展性、安全和建议的完整报告 | | `trade-iq-deploy.vercel.app.har` | 原始网络抓取文件 (22 MB) | | `lighthouse.json` | 包含性能指标的 Lighthouse 审计导出文件 | ## 关键发现 | 严重程度 | 发现 | |----------|---------| | 🔴 高危 | JWT 存储在 localStorage 中 — 容易被 XSS 窃取 | | 🔴 高危 | 顺序/可猜测的学生 ID — IDOR 攻击向量 | | 🟡 中危 | localStorage 中的跨会话数据污染 | | 🟡 中危 | 认证 endpoint 无速率限制（暴力破解可行） | | 🟡 中危 | 无邮箱验证（冒充极易） | | 🟡 中危 | JWT 过期时间为 15 分钟且无 refresh token 轮换 | | 🔵 信息 | 最大内容绘制 (LCP) 为 5.1 秒 — 单个 3.1 MB 的 Expo bundle | | 🔵 信息 | N+1 API 调用 — 每次页面浏览中同一 endpoint 被请求 10 次以上 | ## 评估方法 - 浏览器 DevTools（Network、Application、Console、Lighthouse） - 用于分析请求/响应时间的 HAR 文件分析 - 通过 jwt.io 解码 JWT - 检查 localStorage 以获取 token 和会话数据 - 从网络抓取数据中发现手动 API endpoint ## 使用的工具 - Chrome DevTools - Lighthouse (v13.2.0) - jwt.io - HAR 文件分析器 ## 评分 安全发现使用 **CVSS 3.1** 进行评分： | 发现项 | CVSS | |---------|------| | 跨会话数据污染 | 6.2 (中危) | | localStorage 中的 JWT | 8.6 (高危) | | 通过顺序 ID 导致的 IDOR | 7.5 (高危) | | 无速率限制 | 5.3 (中危) | | 账号枚举 | 5.3 (中危) | | 无邮箱验证 | 6.5 (中危) | | localStorage 中的旧密码字段 | 5.3 (中危) | ## 作者 **SoulByte07**

标签：CISA项目, React Native, StruQ, Web安全, 云资产清单, 前端性能分析, 漏洞分析, 蓝队分析, 路径探测, 逆向工程