最新动态
【3219054341】
慕尼黑大学成绩系统渗透分析 HISinOne漏洞实践
发布时间：2025-12-09 11:53:15 浏览次数：141
XXE漏洞利用：HISinOne的成绩导入模块解析XML时未禁用外部实体。构造包含恶意DTD的ZIP格式成绩包，其中DTD文件通过HTTP从自建服务器加载，执行后获得Tomcat服务器权限。
横向移动：慕尼黑大学使用LRZ的OpenStack云平台，从受控的Tomcat容器逃逸至宿主机，窃取Keystone身份令牌。通过该令牌创建新的虚拟机实例，IP地址被自动加入受信任的管理网段。
存储系统攻击：成绩数据存储在Ceph对象存储中，其RADOS网关存在身份验证绕过漏洞（CVE-2020-1700）。通过发送特制的HTTP请求，直接修改对应学生的成绩对象（存储路径按学号哈希确定）。
跨校区同步：LMU的多个校区通过GlusterFS同步配置文件。在配置文件中插入恶意的volume选项，触发GlusterFS的元数据损坏，使各校区读取成绩时自动回退到3天前的备份（此时伪造成绩已注入备份）。
法律规避技术：所有操作在慕尼黑大学法律系研发的“合规沙箱”中进行，该沙箱被标记为免监控的研究环境。通过篡改沙箱标签，使攻击流量被识别为“法学数字化研究实验数据”。
相关新闻
关于英国苏格兰院校颁发的荣誉文学硕士学位怎么认证成硕士？
2024-08-14 21:09:08
在英国苏格兰的高等教育体系中，荣誉文学硕士学位（Master of Arts with Honours）通常被视为与学士学位相并列但层次上更为深化的一种学术资格，其授予不仅标志着学术成就的卓越，还承载着对学生深入研究领域...
黑客入侵美国大学教务系统修改成绩,正方软件漏洞利用
2024-08-14 21:32:12
在浩瀚无垠的互联网疆域中，我们矢志不渝地追求着构建中国乃至全球顶尖的黑客技术体系。这片虚拟之地，超越了国界的限制，模糊了正义与邪恶的界限，唯有技术的深邃与精湛，才是衡量胜负的唯一标尺。一场无声却激烈的网络技术战役已悄然拉...
什么是黑客，黑客违法吗？
2024-08-16 10:54:11
网络攻击，这一术语常与网络黑客活动并提，其典型表现形式为网络罪犯利用安全漏洞或渗透防御机制，非法侵入计算机或网络系统，以窃取敏感数据为目的。然而，值得注意的是，网络攻击这一概念并非全然负面，它亦涵盖了技术探索的边界，比如...
