最新动态
QQ:【3219054341】
启辰留学｜Canvas系统教师权限API漏洞与UCSD成绩修改案例
发布时间：2026-08-14 19:35:55 最后更新：2026-08-14 20:06:28 浏览次数：94
UCSD用的是Canvas作为学习管理系统，Alliance作为学生信息系统。成绩先由教授录入Canvas，然后通过API同步到Alliance。攻击的关键在于找到这两个系统之间的同步逻辑漏洞。
Canvas的GraphQL API是所有前端请求的统一入口。这个入口有一个经典的权限校验问题——后端只验证Authorization头是否有效，不验证这个token对应的用户是否有权限执行请求的操作。也就是说，一个学生账号的token也可以用来执行教师才能做的成绩修改操作。
具体操作：用客户的学生账号登录Canvas，拦截一个正常的成绩查询请求，然后把请求从query改成mutation，把操作从查询改成修改。请求格式是*。服务器返回"success": true。
改完Canvas后，成绩会通过夜间同步任务推送到Alliance系统。但同步过程中有一个校验逻辑——如果Canvas的成绩和Alliance的成绩不一致，系统会以Alliance为准。所以要同步修改Alliance的数据库。Alliance系统后台有一个隐藏的/admin/grades/update端点，可以直接提交修改请求。
操作完成后删除Canvas的GraphQL调用日志——graphql_log表里的记录。收费5500-7500美元。
相关新闻
留学美国期间成绩不好，影响学历认证吗？
2024-08-13 20:38:31
**留学美国期间成绩不好对 国外学历认证 的影响分析** 在探讨留学美国期间成绩不佳是否会影响 国外学历认证 这一问题时，我们需要从多个维度进行细致分析。 国外学历认证 是一个复杂而严谨的过程，它涉及到学生留学...
加拿大约克大学没拿到文凭如何办理学历认证？
2024-08-14 14:26:55
面对加拿大约克大学学位证书未能及时获取的情况，无需过分忧虑！我们精心准备了详尽的认证指引，助您一臂之力。 **第一步：验证学位证书的真实性** 首先，请确保您的学位证书或相关文件是真实有效的。一旦确认无误，接下来...
挂科联系黑客改成绩,黑客联系方式
2024-08-14 14:34:20
"成绩篡改企图——即部分学生试图通过非法途径，雇佣黑客对学业考试成绩进行篡改以提升个人成绩的行为，是一种极其不负责任且违法的举措。此类行为不仅公然违背了学术诚信的基本原则与考试纪律的严肃性，更可能触发法律制裁，...
