学校说要报案抓我啊

[nsxuan]

先说一下背景，我就读一个土建类的工科211学校，学校在网络这块一直比较差，到现在都不允许建自己的论坛。
具体是这样的，去年 我开发了一个微信公共平台账号，供我们学校学生使用，其中有一个功能是查成绩，用户输入账号、密码，由爬虫去教务网站采集，方便同学使用。还有就是，研究生的成绩，学校每年等到开学之后才公布，但是程序有漏洞，我也就及时给提供了。有上万人 在使用了，这个事情引起了学校几个部门重视，尤其是研究生院，都说要准备报案。
后来知道我是本校学生之后，研究生院就找我谈话，他们指控两点
（1）可能搜集用户账号信息
（2）将系统问公开信息，提供给用户

（2）我知道肯定是有问题的，现在也停止了 研究生成绩查询，但是（1） 我就不知道了，我这个就类似于一个辅助工具，用户提供账号、密码，系统代给他查询成绩，虽然目前我没有保存用户账号密码，但是我的确可以将这些信息保存下来。就这一点 有没有相关法律法规？我到底有没有违法呢？

目前，我还在提供其他几个学校的微信成绩查询服务，数据都是他们输入账号、密码，系统爬取他们教务系统数据，只是代采集，此外，还有一个可选的记住账号、密码功能。所以，现在我特别关心，我这个算非法收集用户信息吗？ 进一步，就算是，我没有扩散，没有恶意使用，算违法吗？这方面有没有具体的法律法规？ 目前 超级课程表、掌上课表这些应用 这都是这样干的

我们学校的问题，现在不怎么担心，我估计也等不到什么结果。我最关心的是，其他学校学校的服务还能不能提供，有没有法律

[lhx2008]

可大可小啊，应该最多去喝喝茶，学校怎么处分就不清楚了

[manhere]

你把成绩提前公开了，别人还怎么操作？ 这才是核心。

[alexrezit]

学校真傻逼, 赶紧退学算了, 什么脑残领导.

[Luzifer]

真相帝出现.

[alexrezit]

@manhere
正解.

[herolee]

2楼真相帝

[vincentqi]

人家门没关好，你就可以进去拿了？虽然你拿了是分给别人的

[feiandxs]

什么学校，网址扔来，黑了拉倒。

[wy315700]

啥学校啊

[rove]

跟校领导沟通时态度先缓和下来，大不了配合学校撤销部分功能。做到这一步应该也有一定的技术经验和市场了，再开发别的功能嘛。
西安人帮顶：）

[chaojie]

没做好保密工作啊。报案什么的有点小题大做了吧，有造成什么不良影响吗，收费了吗？

[sophy]

直接开源就行了！

[Wy4q3489O1z996QO]

@vincentqi 这兄弟是五毛党吗？

[sophy]

@manhere 真相帝

[sdjl]

这个问题可以去问绿狗, 我想 如果只是发起一个http的get请求就能拿到的数据, 那么应该可以公开吧?

[iqav]

就那个第3点也是潜在风险。如果有证据确实你没有保存，也没啥事了。（我不懂法律，我只是这样认为）

[nsxuan]

@chaojie 微信全部公益，没有做任何涉及任何方面的盈利

[icoder]

这个不好定性的，如果真打官司你的胜率很大的 。没有证据证明你窃取账号 ，所有操作都是用户使用自己的账号、密码操作的，和你没啥关系。别担心，也就是吓唬吓唬你

[squallsdjl]

校方就是SB，把服务器和域名全部放到国外去，把负责人换成国外的朋友。告诉他们出国打官司去啊 ヽ(≧Д≦)ノ

[iZr]

我覺得你可以不管它。
到美國尋求政治庇護

[humiaozuzu]

我也做过一样的事情，不过我大 SYSU 找我喝了茶抛了橄榄枝，没把我怎么样 =。=

如果你有类似 一键干掉教务系统，一键干掉全校电脑，一键干掉校园网 之类的可以和学校抗衡一下，如果告你就xxx他们

[iZr]

@humiaozuzu 我覺得可以這樣搞。。。。

[lightext]

“但是程序有漏洞，我也就及时给提供了” 这个比较关键，是通过直接http的get拿到的，还是什么手段？
其实这个不就是某人给我帐号密码，我上去帮他查成绩，只是“我”换成了机器而已。法律上LZ没问题的，倒是像2楼所说，影响到学校的潜规则了。

[wzxjohn]

23333。报案也没用。你的行为好像还没有触犯刑法对于计算机犯罪的定义。。。

[iZr]

@lightext 確實影響到學校收錢了。

[solo7net]

微信嘛 先推送用户说你要被喝茶了 可能以后要不能用了~~
获得关注先

[hitigon]

1.吓唬你为主，报案有点牵强，但中国的事不好说
2.要和校方谈条件，不要服软，也不要太激动
3.如果学校里有关系好的教授老师可以帮忙是挺好的，没有的话，你可以联系你的一万个用户了
4.V2exer如果有律师快来帮帮lz

[printf37]

上学时干过同样的事，结果学校通过网监部门找到我了，最后不得不当着校领导的面关站。
不要再想这些没用的了，马上停掉一切服务，去找领导检讨。
像我这所学校，找网监调查已经证明了他们的态度——在这种事情上没有斡旋的余地，但是只要你配合，就不会继续追究责任。

[printf37]

如果你想长久的做下去，就应当注意保护自己，要时刻VPN或者TOR。
更！不！要！告！诉！别！人！你！做！了！什！么！
我就是在家维护时大意了。

你可千万别小看学校和有关部门的技术实力。

[halfbloodrock]

自从当年的南师大陪舞事件之后，所有高校对学生的论坛，平台等管制严格很多了。。。

你也许没做错什么，但是就是这种自己建立的平台让学校紧张了。。。

[nsxuan]

@lightext 具体是教务系统，教师查看成绩页面的权限认证没有做，只要是登陆的用户都可以查看，只是学生这块没有这个链接，我分析出来了，就通过这个页面，教师一录入成绩，就能查的到

[nsxuan]

@printf37 微信平台是实名认证的，我的身份证都在上面

[jeeve]

@nsxuan 那岂不是也可以利用这个更改学生成绩？

[nsxuan]

@jeeve 成绩是无法更改的

[Ultratude]

本来就不行的吧。我们教授自己扫了下学校的端口，学校就报 911 了。虽然应该没那么简单。

[dndx]

成绩算是学生的隐私，你需要证明没有通过漏洞非法获取了他人的成绩信息。

如果你可以证明所有学生都是自愿使用自己的帐号密码获取了自己的成绩信息，那么后果应该不会那么严重。

当然，如果学校成心想整你，不管报不报警都有的是办法。如果报警而且罪名成立，那么后果会更加严重，比如会影响到你以后出国签证。

本人非专家，不过建议这种情况下，在咨询律师之前，不要再有太多动作。

[blankyao]

不用担心，这个如果违法的话，那搜索引擎岂不是也违法了

[mengyang]

自古二楼出真相啊

[humiaozuzu]

对了，超级课程表就在我隔壁 2333

[Mak]

如果这样就可以到美国寻求政治庇护，那还是挺爽的呀

[iZr]

@Mak 哈哈。可以的。

[nsxuan]

@Mak 这种问题隐私 版权问题，美国法律不是更严格吗

[txx]

想想自动取款机有问题，你不小心多取出来钱了，你不还给国家 都能把你抓进去。。。

这种事 就淡定吧

[lightext]

@humiaozuzu 问问他们团队有什么方法木有，他们团队应该有遇到相似的问题吧？

[chairuosen]

傻逼领导，你觉得他们懂法律？无证据的指控算诽谤。

[humiaozuzu]

@lightext 他们通过帐户密码获取课程表没有违反规定

[Semon]

学校敢报案你就上微博写故事，保证舆论倒向你这边

[timothyye]

@manhere 2楼真相了，你提前公布成绩，断了某某的财路，这才是重点啊

[nsxuan]

@humiaozuzu 那获取成绩呢

[humiaozuzu]

@nsxuan 如果是学校系统也能获取到的，不是通过漏洞提前获取之类的就没事

[nsxuan]

@humiaozuzu 嗯，研究生这块的已经去掉了，其他的 都是正常获取的

[alexrezit]

@humiaozuzu
我怎么觉得楼主被威胁的重点不在 "获取", 而在 "提前"... 只是对潜规则产生了阻碍吧...

[FarBox]

1, 找自己的辅导员，一般辅导员不会希望自己管得学生出事。

2，增加用户使用协议，将责任转移；如果不放心，停止服务。

3，销毁任何有可能被他们采集为证据的信息，包括混淆信息，比如混淆你现在的数据库，提供的查询的信息是不准确的……

4，死不承认是未公开的信息，就说是用自己的账号（也不知道怎么回事就能）抓取的，或者说自己构建的模型自动瞎猜的；死不承认收集用户信息。

5，有勇气的话，就去找校长，把这件事情了了；但涉及关键事实，记住，死不承认。

6，咨询真正的律师，你就是在微博上找律师，也比在V2EX上找回复要靠谱很多。

7，要写检讨书的时候，态度要真诚；但是关键事实要死不承认；也别想着“将功赎罪”帮着找漏洞，某些部门的领导不会这么开明的。

另外，你应该能够正视学校后台漏洞的严重性问题（如果你挖得再深一点的话），通过一定的方式，你可以获取几乎所有学生的（包括已经毕业的）历年成绩、甚至家庭住址、身份证号码、入学照片等信息。

对，你如果能获得某些教师的身份信息（授权）的话，你还能去改掉他们学生的成绩（在他们提交给教务处之后但未冻结时）。

明知国内的学校多以恶意揣摩自己的学生，你却让别人知道自己掌握这样漏洞的可能性；你傻了么？

我们有朋友在大学时就发现过这样的漏洞，但未改过别人成绩，也不曾告诉过别人，甚至都不会想去告诉教务处他们的系统太烂。他说自己胆小，还有太多的事情要做，不愿在这个小事上冒险把自己赔进去。

私以为，这样才是明知的。冒险精神，有些时候是留给傻子的一种自我安慰。

另外，也知道有极个别的朋友甚至收费帮人改成绩的；没有被逮着，过了好些年再说起来，确是一场历险与谈资。但是，这个风险与收益太不相符了。

[walleve]

谈合作， 把你的东西贡献给学校，同时协助学校做漏洞修复，并且接管系统的维护和管理工作。
同时，你可以利用微信来忽悠一下学校，让学校以后开放微信成绩查询。

[nsxuan]

@FarBox 先谢谢你， 我现在想明白了，学校知道我是本校学生，就肯定不会报案抓我了，他们不会搬起石头砸自己的脚。现在就是给不给我处分的问题，研究生院找我谈话，我承认了下错误，并停止了查询，他们让我写了份情况说明，在这个上面写了 为同学服务，深受学生欢迎，我没承认任何错误。
在他们结果下来之前，我还不想请我导师帮忙，同时也没有在微信上 通告这件事件。

[nsxuan]

@FarBox
@walleve

还有一点问题是，团委的老师换了之后，我和团委的关系交恶了，他一直窥视我手里掌握的学生网站和 微信账号，几次找我要，我都拒绝了，这次的事情，他在中间肯定没有起好作用

[ccbikai]

不会是正方系统吧？

[cxe2v]

@ccbikai 正方系统没那么烂

[nsxuan]

@cxe2v
@ccbikai 不是正方，但是正方的漏洞更多了

[cxe2v]

@nsxuan 建议你还是通告一下这件事情，舆论的作用还是挺大的

[nsxuan]

@cxe2v 嗯，他们真要是处分我，我决定就开始传播这件事情，甚至我手里还有条关键信息

[kedron]

这不就是校内版的维基解密么。

[humiaozuzu]

@alexrezit 可能是吧，该成就方便出国什么的

[nVic]

学校不敢起诉的，这个不用怕。成绩只要可以查询了，就进入公共领域，你不要说漏洞，就是程序自动收集，用户自愿提供。学校p都不敢放，要知道领导的胆子可不大。

[fange01]

@FarBox 不得不说，53楼说的非常有道理。作为一个曾经经历这种事的人：改成绩被开除，感同身受。说几点感受
1.国内不会像facebook电影《社交网络》那样，有机会反驳。如果承认了，没有任何机会反悔。学校的行政化非常严重。。如果当时我不承认这些事，并且格了硬盘，啥事可能也没了。
53楼说的:冒险精神，有些时候是留给傻子的一种自我安慰。的确如此。不要幻想会有什么奇迹，远离它。不要谈合作，那是扯犊子的事。

[liuyao729]

先停了吧，如果真报警，学校肯定有关系。不知楼主有没有发现本来通过的，结果被压下去的。以此做为谈判资本

[fange01]

@nVic 的确，99.9999%不会起诉，但是要考虑自己的毕业证之列。

[seeker]

理想的做法：把事实全部公开！然后该怎么办怎么办。
但是，哎。祝福楼主把。

[nsxuan]

@fange01 很同情你，我没改过成绩，书面说明上，也没有承认任何错误

[citydog]

到美國尋求政治庇護 +1

[won]

找找上头的人给打个招呼，错误就变成贡献了

[cyr1l]

楼主你没有错, 错的是世界 !

[aerolqr]

我们学校也有人做了微信公众号查询的，之前网络还有报道，学校似乎也没什么反应。
http://www.ifanr.com/260996

[jacky45]

怎么感觉这么像我们学校

[leegorous]

注意个人行为是必须的。至于报案什么的，这在中国，能不能立案都是个问题，就没必要担心了。

[detailyang]

2L真相

[ccbikai]

我觉得这个发生在我们学校，团委都会帮忙宣传的（也叫招安吧，但你不能用漏洞）

以前学生做过安卓版的，不过没有你做得好。学校都宣传了

[chemhack]

当年全校几百老师的教务系统密码都是12345这种事情我会乱说么。。。。。

[chenshaoju]

这SB学校，这种情况应该是招安才对，还报案，那天自己的系统被未知人士删光了就知道跳脚了。

我觉得目前的情况应该是：绝对不要承认自己“入侵”，必须说是用户主动提交帐号密码（如果有），并且没有存储用户信息，并且并没有以任何方式改变成绩，仅仅是查询。

[gtalk]

潜规则
2楼真相帝

[jamiesun]

资讯律师。

很经典的那两句台词：

“你有权不说话，但你现在所说的每一句话都将成为陈堂证供”

“在我未见到我的律师前，我不会回答你任何问题的”

[jamiesun]

我晚上回家帮你咨询下我的律师。

[nsxuan]

@jamiesun 谢了，我现在知道 用户输入账号、密码 通过我的系统查询，而且用户量巨大，我是否违法,有没有相关法律法规

[ovjaywang]

我们学校也有这样类似的通过微信自己输入用户名密码绑定教务管理系统的。。。貌似还挺火已经已经好几w的用户群了好接受了好多媒体的专访- -这方面如果确凿争取没有收集用户个人信息绝对没什么问题的吧。。况且有个app超级课程表也是通过教务系统绑定获取课程表的。。这方面很多人在做啊而且市场很大。。如果是有问题就应该是提前获取成绩那个了。。水略深

[chemhack]

@ovjaywang 提前获取成绩那个水是够深的，学校真想搞你的话就给定个密级，马上就能用保密法来整你了，就成刑事案件了。

[jamiesun]

帮你资询了一下，

第一点问题不大，首先学生用户密码实际属于学生资产，在了解目标应用的情况下，学生自己输入用户和密码是自愿行为（当然如果你有免责声明更好），你从公开网站上获取信息也是正常行为，其次你没有利用应用来牟利，没有传播扩散泄漏学生密码，及时你保存了密码也没有问题。如果说真有问题，那应该是学生来和你扯信息隐私问题，而不是学校，这是一个主体问题。

第二点的问题是，你利用了学校系统的漏洞，这算是一种入侵行为，但是目前中国在计算机互联网相关的立法很不全面，入侵行为最后要承担什么责任，很大程度上看结果，即你的入侵行为给学校带来了什么损失，财产损失吗，应该没有，人身信誉侵害吗，好像也没有，其实也就是你的行为扰乱了学校的正常教学次序。这个结果很难上升到民事或刑事责任。

另外，那到底算不算系统漏洞，也需要有个明确鉴定。这方面的法律太不健全了。不是系统漏洞，那就不是入侵行为。比如说你可以举证证明，研究生本来就可以查到成绩，学校自己以为没有这个功能。系统供应商也不愿意自己的系统曝出漏洞还被扩散的。

我个人觉得，走法律流程的可能性不大，学校方面处分可能性较大。学校采取什么措施也和你个人的态度有关。相信很多人都劝你和学校调解，你适当妥协下，大事化小，学校要面子，你的行为让学校感到自己系统的脆弱，让他们难堪和恼怒。

我也在想换了我，我会怎么做，我想我肯定是会把这个篓子越捅越大，哈哈。因为我自己现在就是个中途退学的。当然这不代表我鼓励你这么做。你怎么做最终还是你自己的性格决定。

一旦准备启动法律流程，那就要注意保留相关证据，谈话录音等等。

如果学校不起诉你而直接严厉处分甚至开除你，那么你应该起诉他们。

如果你真的坚持强硬到底，那么我推荐几个选择，求助一些公益性的法律团体，这个有的。另外求助于公众媒体，通过微博客等社交平台扩散，建立专门的维权站点，扩大影响，我想全中国的程序员们不会坐视不管的。同时也求助你的校友们为你声援。

其实，学校算个P啊，中国教育这么落后，那些学校难辞其咎。

如果你最终受到不公正的处分，我认为这是对中国程序员的侮辱。

[jamiesun]

@chemhack 保密法的边界确定很难确定的，你说这算啥级别的秘密：国民经济和社会发展中的秘密事项？科学技术中的秘密事项？商业机密吗?学校又不是商业机构。

学校没有定密权，定密也要审批的，说不通。

[cyio]

提醒下，知乎上有很多律师。专业问题，在这里提，效果示必好。楼主让我想起扎克伯格在哈佛的事了。

[chemhack]

@jamiesun 呵呵，谁告诉你学校没有的。。。。保密处是干嘛的

[powerfj]

去掉敏感功能，改为收费。。

[likuku]

LZ你没法证明自己清白，而官方想找你麻烦，是不需要理由的，没有证据可以给你量身订造。

上面有人给你支招说找律师什么，但这些「法律」手段的前提是要在真正以法律为唯一有效规则的游戏环境里。

[jamiesun]

@likuku 在中国没有以法律为唯一有效规则的游戏环境，在中国过就是斗“法”，法律只是手段

[jamiesun]

@chemhack 那啥啥“保密处”定的只是学生守则。

[j]

网肩什么的压根不关心这种事，他们的权利非常有限并且都在忙着给自己找钱途，否则中国就不会有那么多ddos攻击了. 你的领导要想出动“公家”除非是拍出钱来推磨。你就衡量一下你这个事儿是否值得人家花银子就可以了。

[kk71]

@manhere 二楼亮了！

[tangzx]

吓吓你不会的，之前我都注入了把自己成绩都改了半年后学校也是来威胁我我老老实实把漏洞和注入纪录给了他们这事儿后来就不了了之了

[lyric]

@tangzx 你太大意了。如果你真心想改成绩，应该使用跳板入侵，然后一次改动掉几百人的成绩(随机加或者减若干分即可，自己的成绩手工改，但是要在加减范围内)，就行了。

哈哈不过这么搞大概会逼学校重新录入成绩

[nVic]

@chemhack 能被所有人查询到的知识是共有知识，定不了密级的。要不然学校要搞谁还不是分分钟的事？

[chemhack]

@nVic 招生考试试卷考试开始前是绝密级，结束前都是机密级，考试结束后半年以内都是机密级。成绩他们想在公开前订个密级也是可以定的，很多学校都是副部级的，定个密级的权限当然是有的，要不然好多人的毕业论文都没法做。哦，对，还有很多学校给往年考研试卷都定了密级哦。。。

[chemhack]

我只是提醒楼主，别跟学校太较真，把你送局子里应该是不会的，但是随便给你穿穿小鞋很容易。这种东西，搞好了成果不是你的，出问题麻烦都是你的。