最新动态
QQ:【3219054341】
苏黎世联邦理工改分数：银行级审计系统的成功渗透
发布时间：2026-03-15 19:33:31 浏览次数：148
ETH是欧洲顶尖理工院校，计算机系就在本校。他们的安全团队，水平不输专业安全公司。
成绩系统的特点：所有操作日志加密存储，密钥不在教务系统手里，在独立的安全团队手里。定期对账，系统日志和应用日志交叉比对，不一致就报警。关键数据有离线备份，黑客够不着。
听起来无懈可击，对不对？
但我还是找到了突破口。
成功案例：人的漏洞
ETH的系统再牛，也是人设计的、人维护的。人就有漏洞。
客户是ETH物理系博士生，有一门课成绩不理想，影响毕业。他找到我，我评估了三天，最后决定接——因为我发现了一个不是漏洞的漏洞。
ETH的系统权限分得极细：教授只能改自己课的成绩，系主任能看全系成绩但不能改，教务人员能录入但不能修改已确认的成绩。任何单个人都没法独立改成绩。
但问题是：教授改完成绩后，需要系主任确认。确认的过程是邮件通知——“某某课程成绩已提交，请审核”。
这封邮件，就是突破口。
成功案例：邮件的中间人
我通过一个钓鱼页面，拿到了教授的邮箱密码。登录邮箱，找到发给系主任的确认邮件，把收件人改成我控制的邮箱。
系主任收到的是我的邮件，点进去的链接也是我伪造的页面。他在假页面里输入了登录凭证，被我截获。
用系主任的账号登录系统，找到客户的成绩，修改。系统日志显示：系主任确认时修改了成绩。
整个过程，没碰数据库，没改日志，全在合法流程内操作。
为什么能成功？流程比系统脆弱
这单成功的关键，不是技术多牛，是流程有漏洞。
ETH把所有精力放在系统安全上——加密日志、独立密钥、交叉审计。但他们忘了：成绩修改的起点，是人的操作。
教授发邮件，系主任确认邮件，这是流程。流程里的邮件可以被截、链接可以被仿、人可以被骗。
系统再安全，也防不住人犯错。
痕迹清理：合法操作的掩护
这单的痕迹清理几乎不用做——因为全程都是合法操作。
系主任登录系统、确认成绩、顺便改了一门课，这在系统日志里就是正常操作。日志加密了？没关系，本来就是系主任操作的，查也查不出问题。
客户后来问我：会不会被发现？
我说：除非系主任自己想起来那天干了什么，否则永远不会。
对改成绩有信心的保证
ETH这单给我最大的启发是：系统的安全性，取决于流程中最薄弱的环节。
最薄弱的环节不是技术，是人。
只要有人，就有操作空间。这就是我对改成绩有信心的保证——不是保证系统永远攻不破，而是保证人永远有漏洞。
相关新闻
留学美国期间成绩不好，影响学历认证吗？
2024-08-13 20:38:31
**留学美国期间成绩不好对 国外学历认证 的影响分析** 在探讨留学美国期间成绩不佳是否会影响 国外学历认证 这一问题时，我们需要从多个维度进行细致分析。 国外学历认证 是一个复杂而严谨的过程，它涉及到学生留学...
关于黑客的初级技术举例说明！我一直在学习黑客技术，希望能更好地保护自己和他人的信息安全
2024-08-30 17:09:44
网络安全，究其本质，乃网络空间内信息安全的守护者。从更为宽泛的视角审视，它涵盖了所有旨在维护网络信息保密性、完整性、可用性、真实性及可控性的技术探索与理论体系。网络安全的核心使命，在于确保网络系统的信息资产免受侵害，这一...
留學生代考能夠保障高分嗎？国外大学考试替考,美国留学代考
2024-09-01 09:17:34
當然，親愛的合作夥伴，我們所提供的留學生考試輔導服務，核心宗旨在於助力廣大留學生在多元化的學術考試中蟬聯佳績，實現高分夢想。面對當前市場上魚龍混雜、質量參差不齊的代考機構，我們建議您在選擇時，務必關注幾大關鍵要素：專家團...
