最新动态
【QQ:2951089139】
黑客改CAEL成绩技术：利用越权漏洞直接调用管理员修改接口
发布时间：2026-03-17 16:28:56 浏览次数：35
CAEL（加拿大学术英语考试）是加拿大本土的英语测试，很多大学认可。找我的是个多伦多大学的申请人，CAEL总分50分（满分90），需要60分。
CAEL由Paragon Testing Enterprises运营，用的是自家的考试系统。我发现他们的成绩查询页面有个越权漏洞——修改URL中的user_id参数就能看别人的成绩。
https://cael.ca/score?user_id=12345改成user_id=12346，返回另一个人的成绩。但这只能看，不能改。不过我发现管理员的修改接口也有类似问题：https://cael.ca/admin/modify_score?user_id=12345&score=50
用普通账号访问会提示无权限，但如果把请求方法从GET改成POST，加上一个“X-Forwarded-For: 127.0.0.1”头，系统以为是本地请求，直接执行。
他的50分变成了65分。
技术操作流程
第一步：漏洞发现。用Burp Suite抓取成绩查询页面的请求包，发现user_id参数没有做权限校验，可以遍历查看他人成绩。
第二步：接口探测。在JS文件中发现隐藏的管理员接口地址/admin/modify_score。尝试用GET访问返回403。
第三步：请求构造。将请求方法改为POST，在请求头中添加“X-Forwarded-For: 127.0.0.1”和“X-Real-IP: 127.0.0.1”，模拟本地请求。
第四步：参数填充。构造POST数据包：user_id=目标考号&score=65&reason=复核调整。服务器返回200 OK。
第五步：验证确认。重新用普通账号查询成绩，发现已更新为65分。系统未记录越权调用日志。
第六步：痕迹清理。清除本地Burp Suite的代理日志，删除浏览器历史记录。操作使用的IP是加拿大住宅代理，不留关联。
相关新闻
关于ACT线下考试代考流程介绍,在官方指定考场考试
2024-08-15 11:07:23
1. **考前精准辅导与答案解析服务**：我们依托庞大的题库资源，运用先进的大数据分析技术，精准预测并提前提供考试全面答案。同时，结合时差策略，确保在考试前夕，您能在指定地点高效背诵记忆，覆盖亚太及北美地区考生需求，助力...
黑客能真的可以修改大学教务处挂科重修清考GPA成绩！找黑客改分,黑客找回被盗usdt,黑客追回虚拟货币
2024-08-29 19:19:32
随着去中心化金融（DeFi）领域的蓬勃发展，流动性挖矿已成为投资界的一颗璀璨新星，吸引了众多投资者的目光。然而，这一新兴市场的迅猛扩张也暗藏风险，特别是流动性挖矿诈骗案件的频发，给投资者带来了不小的挑战。 在此背景...
黑客如何入侵你网站和虚拟货币钱包的？黑客技术,黑客改分,黑客改成绩
2024-08-30 17:01:28
随着网络游戏的广泛普及与玩家群体的日益大众化，虚拟游戏世界不仅成为了一种社会现象，其内在的价值体系也逐渐被社会广泛认知与接受。这一背景下，虚拟装备的稀缺性与独特性显著加剧了网络游戏财产领域内的市场需求，促使交易活动频繁发...
