最新动态
【3219054341】
特洛伊木马再临：USC成绩管理系统的沉默沦陷
发布时间：2025-12-09 11:41:51 浏览次数：92
漏洞定位：USC的OAuth授权服务器在对scope参数验证时，未正确校验redirect_uri与注册凭证的隶属关系。通过构造恶意客户端应用，诱骗具有GRADE_EDIT权限的助教授权，获取访问令牌。
攻击链展开：使用合法令牌访问Grade Submission API时发现权限过度分配——该API允许修改同一院系所有本科生成绩。通过遍历API返回的课程列表，定位目标学生所属的COURSE_ID与SECTION_CODE。
数据篡改阶段：原始成绩提交采用JSON格式，但系统后端存在JSONP回调函数过滤缺陷。构造包含SQL片段的回调函数名，在Oracle数据库触发基于时间的盲注，将GRADES表的LETTER_GRADE字段从“B-”更新为“A”。
痕迹消除：在USC阿卡莱科技园的GPU集群中部署流数据处理程序，实时监控SIS+的Kafka日志流，使用正则表达式匹配并删除包含特定学号的GRADE_MODIFY事件。同时伪造数字签名的时间戳，使修改记录与正常批处理作业时间一致。
安全保证：攻击流量混杂在毕业季高并发选课请求中（日均200万次API调用）。利用USC校园网IPv6地址段的动态分配特性，每次连接使用不同临时地址。在 Marshall School of Business 的公共工作站部署反取证脚本，定期清除交换机流记录。
相关新闻
考试找代考要注意哪些细节才能保证安全？
2024-08-14 13:59:20
在踏上留学征途之前，每位学生均需针对目标国家的特定要求，历经一系列严谨的考试洗礼。然而，留学代考服务如同一座桥梁，横跨多个国家，为众多学子铺就了一条通往梦想的便捷之路。多数学子的心之所向，莫过于美国、英国、澳大利亚等享誉...
关于中外合作办学的学生需要提交哪些认证申请材料？
2024-08-14 21:12:47
请中外合作办学的毕业生悉知，务必提交以下三项关键文件以供审核：毕业证书（或学位证书）、个人有效身份证件以及官方授权声明书。若您在学习期间，有累计达到或超过180天的境外（含港澳台地区）学习经历，建议您在申请认证时，明确选...
国外文凭使用电子版文凭证书申请国外学历认证吗？
2024-08-14 21:18:19
电子版证书，其法律效力与纸质版学位证书完全等同，可无缝衔接于各类认证申请流程之中。本中心秉持严谨细致的态度，将针对每一位申请人所提交的详尽材料进行深入且个性化的评估分析，确保认证过程的公正性与准确性。最终，认证结果将作为...
