最新动态
QQ:【3219054341】
启辰留学｜Callista系统Session劫持与莫纳什大学成绩修改案例
发布时间：2026-08-14 19:37:25 最后更新：2026-08-14 20:05:36 浏览次数：65
莫纳什大学用的是Callista系统，版本8.2。Callista的成绩录入模块在验证教师权限时有一个设计缺陷——它只检查session token的有效性，不验证token对应的用户是否真的有权限修改该课程的成绩。
这意味着只要有任意一位教师的有效session token，就可以修改任何课程的任何成绩。第一步是通过密码枚举进入目标讲师的学校邮箱。Callista的密码重置邮件会发到讲师的学校邮箱，很多教师邮箱的密码强度很低。花了两小时通过密码枚举进入了会计系一位讲师的邮箱——密码是“Monash2023”。
邮箱里有一封Callista系统发来的“临时密码重置链接”，点进去修改了密码。然后用新密码登录Callista教师端。Callista的成绩表叫CRM_RSLT，关键字段是STUDENT_ID、COURSE_CODE、MARK、GRADE。客户记录是MARK=48、GRADE=‘N’。用*改成MARK=55、GRADE=‘P’。同时把LAST_MODIFIED字段改成三天前。
Callista有一个CRM_AUDIT表记录所有成绩修改的日志。用*删除了这次操作的日志条目。然后用DBMS_REPAIR工具修复了因删除产生的表空间碎片——这一步很多黑客不做，但如果DBA检查表空间时会发现异常。
最后清理了教师邮箱的登录记录和密码重置邮件。客户第二天登录系统，成绩已经变成55分。收费5000-8000美元。
相关新闻
手机定位技术在社交媒体平台中的应用优势
2024-08-27 22:29:19
**手机定位技术在社交媒体平台中的应用优势** 随着移动互联网的飞速发展，手机定位技术已成为社交媒体平台不可或缺的一部分，其在提升用户体验、个性化服务、以及增强社交互动性方面展现出了显著的应用优势。 **一...
美国文凭VS英国文凭，哪个更硬核？
2024-08-31 10:30:27
总体而言，选择何种文凭应深思熟虑地考量个人的职业生涯规划与财务状况。对于旨在全球范围内追求高度认可与广阔职业前景的个体而言，若预算充足且愿意投资于更高层次的教育体验，美国文凭无疑是一个极具吸引力的选项，它往往能赋予持有人...
史上最严重的黑客入侵事件盘点
2024-08-31 21:39:29
**深度剖析黑客入侵事件：一场技术与安全的较量** 在当今这个数字化时代，黑客入侵事件如同暗流涌动，不时地冲击着信息安全的堤坝。这些事件不仅考验着技术防御的坚固性，更深刻地揭示了网络安全领域面临的复杂挑战与严峻形势...
