最新动态
【QQ:2951089139】
启辰留学｜Blackboard系统CSRF漏洞利用与曼彻斯特大学挂科改分案例
发布时间：2026-08-14 19:34:15 最后更新：2026-08-14 20:07:01 浏览次数：2
曼彻斯特大学使用的Blackboard系统有一个经典漏洞——教师端的session token可以通过CSRF攻击获取，而且这个token的有效期是24小时。这给了我们足够的操作时间窗口。
客户的课程代码是BMAN20081，管理会计，48分，差2分及格。曼大的Blackboard成绩册（Gradebook）在教师端有一个“成绩修改”功能，但这个功能没有做额外的二次验证——只要你有教师账号的session token，就能直接修改任何学生的成绩。
操作分三步。第一步，通过一个精心构造的CSRF攻击链获取目标讲师的session token。具体手法是通过钓鱼邮件诱导讲师点击一个伪造的“课程大纲更新”链接，链接指向的页面会自动向Blackboard的成绩修改API发送一个请求。讲师点击时，系统以为是他本人在操作，token就被拿到了。
第二步，拿到token后用POST请求构造一个成绩修改数据包。请求格式是JSON，包含三个关键字段：courseId（课程ID）、studentId（学生ID）、newGrade（新成绩）。把newGrade从48改成55，同时把gradeStatus从FAIL改成PASS。
第三步，Blackboard的成绩修改会记录在Gradebook History里，所以改完分数后要进入Gradebook的日志表删除当天的修改记录。具体操作是进入gradebook_history表，用*删除包含客户学号的那条记录。
时间戳处理也很关键。把成绩修改的时间戳从当天凌晨改成两周前的某个工作日，让操作看起来像教授在成绩公示期内做的正常调整。
客户第二天登录Blackboard，成绩已经显示为55分（D）。48小时不到，安全无痕。单科改分收费5000-8000美元。
相关新闻
如何高效地进行网站渗透测试项目管理？GPA成绩提高,找黑客改分,修改成绩单,高中成绩修改
2024-08-27 22:42:14
# 如何高效地进行网站渗透测试项目管理 ## 一、项目准备阶段 ### 1. 确定测试范围和目标 - **明确测试目标**：确定需要测试的IP地址、域名、内外网等范围。 - **定义测试规则**：明确测...
Bithumb黑客攻击事件,黑客怎么入侵大学网站修改成绩
2024-08-31 21:43:33
在2018年6月遭受的骇人黑客袭击之后，Bithumb详尽地披露了其资产遭受的损失情况，这一事件迅速触发了韩国科学技术信息通信部（MIC）的全面而深入的调查响应。调查的核心发现直指几个关键的安全漏洞与不足，具体包括： ...
留學生代考都有哪些项目！
2024-09-01 09:06:21
在全球多元化的教育舞台上，留学生所涉足的学府遍布世界各地，各领域的专业考试要求更是琳琅满目，纷繁复杂。面对这一挑战，留学生代考服务精心构建了多元化的专家团队，每位专家均根据其专业领域的深厚造诣与丰富经验，为不同考试类型量...
