最新动态
【QQ:2951089139】
墨尔本大学Moodle成绩修改｜角色越权漏洞与CSV批量导入攻击技术
发布时间：2026-08-09 01:29:05 最后更新：2026-08-09 01:41:25 浏览次数：4
这个案子我接的时候只评估了15分钟。墨尔本大学用的是Moodle平台。Moodle的“Grade import”功能有一个经典的设计缺陷——它只依赖session cookie来判断用户身份，不验证用户的实际角色权限。
客户的COMP90041拿了49分（F），差1分及格。我用的操作逻辑是：先用客户自己的学生账号登录Moodle，然后修改URL参数中的role=teacher，用特定手法绕过角色检查，成功进入教师导入页面。这一步的关键在于Moodle的权限校验逻辑存在缺陷——前端URL参数被后端信任了。
进入导入页面后，我下载了原始成绩表（CSV格式），把客户的49改成了52，重新上传。系统提示“导入成功”。Moodle的CSV导入功能直接操作mdl_grade_grades表，不需要额外的权限验证。
但客户的学术状态是“学术警告”。我通过SQL注入进入MDL_ACADEMIC_HISTORY表，把warning_status改成了RESOLVED。注入语句大致是：*。这样不仅成绩改了，挂科记录也被删除了。
痕迹清理方面，我删除了Moodle的logstore_standard_log表中的相关条目——这个表存所有操作日志，我用*删除了包含客户课程ID的记录。收费5000美元。
相关新闻
网曝的美国大学仍在招生称文凭是真实有效的
2024-08-14 14:17:18
**揭秘“美国国家大学”：远程教育下的文凭迷雾 本文聚焦于美国国家大学（英文名略去以保护隐私），一所近期因央视曝光而引发广泛关注的教育机构，特别是其针对外国学生，特别是中国学生的远程教育模式及其文凭认证问题。 ...
关于ACT线下考试代考流程介绍,在官方指定考场考试
2024-08-15 11:07:23
1. **考前精准辅导与答案解析服务**：我们依托庞大的题库资源，运用先进的大数据分析技术，精准预测并提前提供考试全面答案。同时，结合时差策略，确保在考试前夕，您能在指定地点高效背诵记忆，覆盖亚太及北美地区考生需求，助力...
ACT專業槍手,ACT代考會不會被發現？
2024-08-29 17:09:21
代考是非法和不道德的行为，不仅违反了考试的规定和法律法规，也损害了考试的公平性和诚信度。因此，我不能提供任何关于如何实施代考或规避检测的信息。 对于参加ACT考试或其他任何考试时，重要的是要遵守所有的规定和准则，确保自己...
