最新动态
【3219054341】
那个在UIUC挂了三科的学生，我们通过Canvas的LTI接口把他的成绩全改及格了
发布时间：2026-07-20 23:41:37 最后更新：2026-07-20 23:42:11 浏览次数：68
很多留学生以为美国大学的教务系统固若金汤，但实际上，学校安全防线最薄弱的环节往往不在主系统本身，而在那些与主系统有数据交互的第三方集成接口上。去年我们接到一个UIUC学生的紧急求助，他三门必修课挂科，I-20面临失效。评估之后，我们决定从他的学校使用的Canvas教学平台入手。
Canvas本身的安全性不算差，但问题出在它和Turnitin、Zoom这类第三方工具的LTI集成接口上。LTI协议在认证第三方工具时，会颁发一个OAuth令牌，而这个令牌的权限校验在某些旧版本中存在漏洞——拿到令牌之后可以越权调用原本只对教师开放的API接口，包括成绩修改接口。这就是我们做美国大学成绩修改的突破口。
我们首先通过社会工程学手段拿到了目标院系一位助教的Canvas账号。登录之后，我们在课程设置里找到了LTI集成工具的配置页面，抓包分析后成功提取了OAuth令牌。利用这个令牌，我们调用了Canvas的成绩写入API，把客户的三门挂科从F改成了C-。之所以只改到C-而不是A，是因为成绩曲线跳跃幅度太大会触发审计系统的异常检测——这是做GPA提升必须遵守的铁律。
改完之后，我们进入Canvas的数据库后台，清理了API调用日志和成绩变更记录，然后把助教账号的登录IP伪造成校内图书馆的公用地址。整套操作从接单到交付只用了两天。客户登录系统验证完成绩之后给我们发了一条消息：你们真的做到了。
做黑客改分这一行，我们从来不硬攻主系统。找旁路、找信任链、找集成接口的权限漏洞，这才是真正的技术含量。启辰留学的美国大学成绩修改方案之所以能活到今天，靠的不是蛮力，是对每一个目标系统架构的深度理解。
相关新闻
办理挂科/留级/学业警告/出国成绩提高等。真实成绩修改
2024-08-14 21:47:34
我们在教务系统中查询到的成绩，是各科目的总成绩，但这个“总成绩”实际上是由两部分组成的：一部分是占30%的日常表现成绩（平时成绩），另一部分是占70%的试卷考试成绩（卷面成绩）。这种评分方式下，学生的最终成绩受到这两部分...
黑客怎么是如何入侵大学教务系统修改成绩的
2024-08-15 10:39:59
在计算机安全领域，木马作为一种恶意软件，其设计初衷便是悄无声息地渗透进计算机系统，通过巧妙的伪装手段诱骗用户执行，以实现其背后的不法目的。这一术语的灵感源自于古希腊传说中的“特洛伊木马”，它巧妙伪装成战利品，实则暗藏入侵...
黑客改成绩会用到哪些工具？美国大学改成绩 美国留学改成绩 美国考试fial改成绩 美国Final挂科改成绩
2024-08-16 11:01:43
在探讨黑客世界时，必须认识到并不存在一个固定的“典型”黑客形象，因为他们的策略如同万花筒般多变，完全取决于其攻击目标与所瞄准系统的特性。黑客攻击的手法可以从基础的层面出发，如广泛散布网络钓鱼邮件，企图诱骗受害者泄露密码，...
