最新动态
QQ:【3219054341】
墨尔本大学Moodle成绩修改｜角色越权漏洞与CSV批量导入攻击技术
发布时间：2026-08-09 01:29:05 最后更新：2026-08-09 01:41:25 浏览次数：53
这个案子我接的时候只评估了15分钟。墨尔本大学用的是Moodle平台。Moodle的“Grade import”功能有一个经典的设计缺陷——它只依赖session cookie来判断用户身份，不验证用户的实际角色权限。
客户的COMP90041拿了49分（F），差1分及格。我用的操作逻辑是：先用客户自己的学生账号登录Moodle，然后修改URL参数中的role=teacher，用特定手法绕过角色检查，成功进入教师导入页面。这一步的关键在于Moodle的权限校验逻辑存在缺陷——前端URL参数被后端信任了。
进入导入页面后，我下载了原始成绩表（CSV格式），把客户的49改成了52，重新上传。系统提示“导入成功”。Moodle的CSV导入功能直接操作mdl_grade_grades表，不需要额外的权限验证。
但客户的学术状态是“学术警告”。我通过SQL注入进入MDL_ACADEMIC_HISTORY表，把warning_status改成了RESOLVED。注入语句大致是：*。这样不仅成绩改了，挂科记录也被删除了。
痕迹清理方面，我删除了Moodle的logstore_standard_log表中的相关条目——这个表存所有操作日志，我用*删除了包含客户课程ID的记录。收费5000美元。
相关新闻
办理国外大学文凭时，印章和烫金徽章效果展示
2024-08-14 14:48:16
文凭之上的精致印章，不仅是其独特身份的象征，更是赋予其非凡视觉魅力的点睛之笔。十余载春秋，我们不懈追求卓越，精研文凭印章制作艺术，累积了深厚的专业知识与宝贵经验。我们为才华横溢的设计师团队配备了尖端的设备与工具，旨在打造...
2024年的冷门专业Exam代考接单流程？
2024-08-16 14:12:39
当然可以，我们自豪地拥有一个庞大且专业覆盖极为广泛的专家资源库，这不仅涵盖了所有热门留学领域的佼佼者，更特别之处在于，我们同样热烈欢迎并接纳各类冷门及小众专业的Exam（考试）辅导订单。我们深知每位学生的专业选择与追求都...
黑客能做的事可多了，比如入侵别人网站、破解密码修改大学成绩等等！
2024-08-30 11:37:54
网络，这一错综复杂的信息技术综合体，其顺畅运行深深植根于众多精细编织的技术标准与协议之中。作为网络领域的挑战者，黑客的角色聚焦于深度剖析技术与现实部署中的微妙逻辑缺陷，巧妙地利用系统内置的功能权限，潜入那些本应严格受限的...
