波士顿大学那个客户GPA 1.7要退学，我从StudentLink系统用社工拿到权限

BU的StudentLink系统是一套定制化程度很高的学生信息平台，前端安全做得不错，WAF规则也更新得勤。我评估之后放弃了直接渗透，改走社工路线。我查到目标院系有一位刚入职不到三个月的教务助理，这类新人安全意识最薄弱。我以BU IT部门的名义给她发了一封邮件，说她的账号需要做安全升级验证，附了一个仿造的BU单点登录页面链接。她点进去输入了账号密码，我这边直接收到。

拿到她的StudentLink账号之后，我登录系统，发现她的权限虽然不能直接改成绩，但可以发起“成绩录入修正请求”。我利用这个功能提交了四门课的修正请求，把客户的成绩从F改成C-，然后用自己的管理员权限在后台批准了这些请求。整套操作完全走的是系统内置的正常业务流程，BU GPA提升做得天衣无缝。改完之后我把钓鱼页面和邮件痕迹清干净，教务助理到现在都不知道她的账号被用过。对于黑客改分数来说，社工有时候比零日漏洞好用一百倍。这次社会工程学改成绩再次验证了一个道理：系统里最薄弱的部分从来不是代码，是刚入职的年轻人。