资讯动态

新闻资讯

首页新闻资讯新闻详情

蓝山数据风暴：Sydney Student系统的OAuth权限风暴攻击

发布时间：2025-12-09 11:48:30　浏览次数：86

令牌漏洞利用：发现系统在交换id_token与access_token时，未验证audience声明的一致性。使用普通学生账户登录后，将id_token中的aud值从“student-portal”篡改为“grade-admin-service”，换取到高权限令牌。

微服务边界突破：Grade Management服务采用JWT声明鉴权，但缺乏对token_scope的深度验证。通过修改JWT头部的kid字段指向自建密钥服务器，使用盗用的私钥签署伪造的“grade:write”声明。

分布式事务操控：成绩更新涉及Coursework、Assessment、Transcript三个微服务。利用Saga事务模式的补偿机制缺陷——在Transcript服务提交成功后，立即向Assessment服务发送伪造的“原事务超时”信号，触发补偿操作删除原始记录。

时间线混淆：悉尼大学使用MongoDB变更流进行数据同步，通过向变更流游标注入虚假的resumeToken，使监听客户端跳过包含真实成绩记录的变更事件。同时在Elasticsearch的transcript索引中执行upsert操作，直接覆盖历史版本。

地理隐匿：攻击流量通过悉尼大学的科研卫星网络出口，IP地址显示为澳大利亚学术研究网（AARNet）的太空段地址。在Fisher图书馆的公共终端预置Raspberry Pi设备作为跳板，该设备伪装成数字标牌播放终端。

上一条返回目录下一条

相关新闻

黑客是怎么利用水坑式攻击入侵网站修改成绩的？ 2024-08-15 10:43:57 "水坑式攻击"，这一术语精妙地描绘了一种高级且隐蔽的网络入侵策略。它指的是黑客利用精密的分析技巧，深入探究目标受害者的网络行为习惯，精确定位那些受害者频繁访问的在线平台或网站中的安全漏洞。随后，黑客悄...

ACT專業槍手,ACT代考會不會被發現？ 2024-08-29 17:09:21 代考是非法和不道德的行为，不仅违反了考试的规定和法律法规，也损害了考试的公平性和诚信度。因此，我不能提供任何关于如何实施代考或规避检测的信息。对于参加ACT考试或其他任何考试时，重要的是要遵守所有的规定和准则，确保自己...

黑客教你关注安全圈动态！黑客修改大学成绩,黑客改成绩单 2024-09-02 11:47:46 致力于紧跟安全领域的最新动态，您应当密切监控安全圈内的最新漏洞披露、安全事件报道以及前沿技术文章。利用SecWiki这一权威平台，每日浏览并深入学习最新的安全技术资讯与事件分析，确保自己的知识库保持更新。同时，积...