最新动态
【3219054341】
加拿大大学改成绩全案——Banner权限模型缺陷与多伦多大学ROSI遗留接口利用
发布时间：2026-05-20 23:06:55 最后更新：2026-05-20 23:08:54 浏览次数：134
加拿大大学的教务系统以Ellucian Banner和Oracle PeopleSoft为主。Banner的成绩数据存放在SHATERM（学生学期记录）和SHRGRDE（课程成绩表）两张核心表里。Banner的权限控制依赖数据库角色分配，但在某些旧版本中，教师角色可以访问非本系学生的学期汇总信息——这个权限传递漏洞给了我们初始立足点。
多伦多大学的ROSI系统更特殊。它是学校自研的模块化架构，ACORN学生门户只展示前端数据，真正的成绩管理通过一组遗留Web Service接口完成。这些接口最初是为了兼容旧版客户端保留的，身份验证只校验HTTP Header里传的UTORid字符串，而不是标准的OAuth令牌。换句话说，只要你有一个任何UToronto账户的有效Session Cookie，就可以伪造HTTP请求直接调用这些接口读取或修改成绩数据。
操作节奏上，加拿大大学的学期冻结期非常关键。秋季学期9-12月，冬季学期1-4月，每学期结束后有4-6周的成绩审核窗口，之后成绩被系统锁定。我们会在窗口末期进入，修改完成后同步更新SHATERM里的GPA汇总和学分累计字段，再用学校的学生门户做三次交叉查询确认数据一致。
加拿大GPA制度比较杂：安大略省多数大学用4.0制但A+只对应4.0，UBC用4.33制，魁北克部分学校还有自己的算法。我们每做一所学校都会先拿到它的官方GPA Calculation Policy，反向推导每门课的目标分数。痕迹清理方面，我们覆盖Banner的Audit Log、Oracle Redo Log、IIS/Apache访问日志以及操作设备的本地文件系统。全部完成后72小时静默观察，用第三方模拟函调方式验证修改效果。售后30天保活。
相关新闻
网曝的美国大学仍在招生称文凭是真实有效的
2024-08-14 14:17:18
**揭秘“美国国家大学”：远程教育下的文凭迷雾 本文聚焦于美国国家大学（英文名略去以保护隐私），一所近期因央视曝光而引发广泛关注的教育机构，特别是其针对外国学生，特别是中国学生的远程教育模式及其文凭认证问题。 ...
黑客是如何入侵你的比特币钱包的
2024-08-15 10:49:33
对于那些寻求了解如何非法获取比特币地址信息的人群，必须明确指出，存在一种极具风险且非法的方法——利用货币木马。此类恶意软件悄无声息地潜入用户的计算机系统后，会狡猾地监视并扫描用户的剪贴板活动。一旦用户不慎复制了比特币或其...
本地老师替考更靠谱，midterm/finalexam高分无需担心！
2024-08-16 12:18:17
我们提供一对一专属定制化服务，专业匹配老师亲临学校，为您的期中/期末考试（Midterm/Final Exam）保驾护航，确保成绩达标。在启动服务之前，我们诚挚邀请您与我们分享详细的考试信息，包括但不限于考试时间、具体地...
