成绩修改

启辰留学｜Moodle系统角色越权漏洞与墨尔本大学成绩修改案例

发布时间：2026-08-14 19:36:32　最后更新：2026-08-14 20:06:00　浏览次数：62

墨尔本大学用的是Moodle平台。Moodle的“Grade import”功能有一个经典的设计缺陷——它只验证session cookie的有效性，不验证用户是否有权限执行导入操作。

操作逻辑是这样：先用客户自己的学生账号登录Moodle，然后修改URL参数中的role=teacher。Moodle的权限校验机制在部分页面上存在缺陷——前端URL参数被后端信任了，导致一个普通学生账号可以通过篡改URL参数获得教师页面的访问权限。

进入导入页面后，选择“从CSV导入成绩”功能。下载原始成绩表的CSV模板，把客户的49改成52，然后上传。Moodle的CSV导入功能直接操作mdl_grade_grades表，不需要额外的权限验证。系统提示“导入成功”。

但客户的学术状态是“学术警告”。用SQL注入进入MDL_ACADEMIC_HISTORY表，把warning_status从ACTIVE改成RESOLVED。注入语句大致是：*。

痕迹清理方面，Moodle的logstore_standard_log表存所有操作日志，用*删除包含客户课程ID的记录。

收费5000美元。

上一条返回目录下一条

留学生学历认证新规详解：最新流程介绍 2024-08-15 11:23:40 留学生学历认证：深度解析与申请指南留学生学历认证，作为连接海外教育与国内认可体系的重要桥梁，旨在验证并确认留学生在国外高等教育机构所获学历的合法性与真实性。这一认证过程对于留学生回国发展、求职就业乃至继续深造具有...

代考分數沒有通過可以退款嗎？ 2024-08-29 17:13:25 我们承诺提供无忧的退款保障，迄今为止，本机构在ACT代考服务领域保持着零失败记录的卓越表现，因此，您完全无需忧虑关于考试成绩未能达到预设目标的问题。若不幸发生分数未达标或成绩未正常公布的情况，我们将秉持客户至上的原则，为...

听说朝鲜黑客最近又搞事了，他们利用Chrome的漏洞攻击加密货币用户，真是防不胜防啊！黑客能不能找回被盗虚拟币 2024-09-04 10:49:48 微软公司前沿的网络安全团队近日揭露了一项针对Chromium渲染引擎的严重零日漏洞，该引擎广泛支持包括Chrome在内的众多主流浏览器，构成了互联网浏览体验的核心基石。不幸的是，这一安全漏洞被狡猾的朝鲜黑客组织“Citr...