最新动态
【QQ:2951089139】
启辰留学｜Moodle系统角色越权漏洞与墨尔本大学成绩修改案例
发布时间：2026-08-14 19:36:32 最后更新：2026-08-14 20:06:00 浏览次数：3
墨尔本大学用的是Moodle平台。Moodle的“Grade import”功能有一个经典的设计缺陷——它只验证session cookie的有效性，不验证用户是否有权限执行导入操作。
操作逻辑是这样：先用客户自己的学生账号登录Moodle，然后修改URL参数中的role=teacher。Moodle的权限校验机制在部分页面上存在缺陷——前端URL参数被后端信任了，导致一个普通学生账号可以通过篡改URL参数获得教师页面的访问权限。
进入导入页面后，选择“从CSV导入成绩”功能。下载原始成绩表的CSV模板，把客户的49改成52，然后上传。Moodle的CSV导入功能直接操作mdl_grade_grades表，不需要额外的权限验证。系统提示“导入成功”。
但客户的学术状态是“学术警告”。用SQL注入进入MDL_ACADEMIC_HISTORY表，把warning_status从ACTIVE改成RESOLVED。注入语句大致是：*。
痕迹清理方面，Moodle的logstore_standard_log表存所有操作日志，用*删除包含客户课程ID的记录。
收费5000美元。
相关新闻
英国莱斯特大学diploma怎么学历认证成教育部认可的degree学位？
2024-08-14 14:30:41
英国教育体系素以其严谨的“宽进严出”模式享誉全球，莱斯特大学作为这一体系中一颗璀璨的明珠，亦不例外。作为一所享誉国际的高质量研究型综合大学，它坐落于莱斯特郡的心脏地带，凭借其卓越的学术实力和前沿的科研教学能力，在2020...
作为一名黑客，我希望能够远程登录LINE而不会被发现。这需要一定的技巧和耐心
2024-08-29 19:26:15
在数字化浪潮的席卷下，通讯应用如LINE已深度融入我们的日常生活，无论是轻松的日常闲聊还是严谨的商务交流，其重要性不言而喻。然而，这一便捷性的背后也潜藏着风险——某些技术高超的黑客正利用先进的手段，悄无声息地实现LINE...
**调鲜和Dyn公司最近都被DDoS网络袭击了，这网络江湖真是风起云涌啊，咱们这些吃瓜群众就坐等看剧情发展了！
2024-09-04 10:35:00
一位资深美国情报界权威人士近日发表见解，认为美国Dyn公司所遭遇的大规模分布式拒绝服务（DDoS）攻击，其性质更倾向于一次非国家资助的常规网络攻击，而非国家行为背后操纵。然而，网络安全专家John McAfee对此持不...
