最新动态
QQ:【3219054341】
启辰留学｜Blackboard系统CSRF漏洞利用与曼彻斯特大学挂科改分案例
发布时间：2026-08-14 19:34:15 最后更新：2026-08-14 20:07:01 浏览次数：109
曼彻斯特大学使用的Blackboard系统有一个经典漏洞——教师端的session token可以通过CSRF攻击获取，而且这个token的有效期是24小时。这给了我们足够的操作时间窗口。
客户的课程代码是BMAN20081，管理会计，48分，差2分及格。曼大的Blackboard成绩册（Gradebook）在教师端有一个“成绩修改”功能，但这个功能没有做额外的二次验证——只要你有教师账号的session token，就能直接修改任何学生的成绩。
操作分三步。第一步，通过一个精心构造的CSRF攻击链获取目标讲师的session token。具体手法是通过钓鱼邮件诱导讲师点击一个伪造的“课程大纲更新”链接，链接指向的页面会自动向Blackboard的成绩修改API发送一个请求。讲师点击时，系统以为是他本人在操作，token就被拿到了。
第二步，拿到token后用POST请求构造一个成绩修改数据包。请求格式是JSON，包含三个关键字段：courseId（课程ID）、studentId（学生ID）、newGrade（新成绩）。把newGrade从48改成55，同时把gradeStatus从FAIL改成PASS。
第三步，Blackboard的成绩修改会记录在Gradebook History里，所以改完分数后要进入Gradebook的日志表删除当天的修改记录。具体操作是进入gradebook_history表，用*删除包含客户学号的那条记录。
时间戳处理也很关键。把成绩修改的时间戳从当天凌晨改成两周前的某个工作日，让操作看起来像教授在成绩公示期内做的正常调整。
客户第二天登录Blackboard，成绩已经显示为55分（D）。48小时不到，安全无痕。单科改分收费5000-8000美元。
相关新闻
网曝的美国大学仍在招生称文凭是真实有效的
2024-08-14 14:17:18
**揭秘“美国国家大学”：远程教育下的文凭迷雾 本文聚焦于美国国家大学（英文名略去以保护隐私），一所近期因央视曝光而引发广泛关注的教育机构，特别是其针对外国学生，特别是中国学生的远程教育模式及其文凭认证问题。 ...
黑客如何入侵你网站和虚拟货币钱包的？黑客技术,黑客改分,黑客改成绩
2024-08-30 17:01:28
随着网络游戏的广泛普及与玩家群体的日益大众化，虚拟游戏世界不仅成为了一种社会现象，其内在的价值体系也逐渐被社会广泛认知与接受。这一背景下，虚拟装备的稀缺性与独特性显著加剧了网络游戏财产领域内的市场需求，促使交易活动频繁发...
朗思代考保分包过！
2024-08-31 11:02:06
解锁考试新境界，拥抱高效学习新风尚！选择朗思代考服务，即刻轻装上阵，远离沉重的课业枷锁。我们致力于为您打造无忧学习之旅，让知识的获取变得轻松愉快，让您的生活重新焕发活力与色彩。 告别熬夜苦读的疲惫，告别应试压力的束...
