AP分数调整——College Board成绩发布API重放攻击

在AP成绩发布日，College Board会向各高中发送成绩数据包，同时通过API向考生端推送成绩。通过中间人攻击或ARP欺骗，截获高中接收成绩的HTTPS请求。该请求是一个JSON数据包，包含所有考生的成绩。复制请求后，修改目标考生的分数字段，然后使用原始请求的认证头重新发送至API服务器。服务器校验认证头有效（因为是从合法请求中复制的），接受修改后的数据，更新数据库中的成绩。整个重放过程在几秒内完成，高中端和考生端看到的都是修改后的分数。