最新动态
【QQ:2951089139】
启辰留学｜SITS系统IDOR漏洞与华威大学论文成绩修改案例
发布时间：2026-08-14 19:38:03 最后更新：2026-08-14 20:05:03 浏览次数：2
华威大学用的是Unit4系统，成绩数据最终会同步到SITS系统。Unit4的论文成绩存在PGR_THESIS_MARK表里。Unit4系统有一个经典的IDOR漏洞——修改URL中的thesis_id参数就可以访问任意学生的论文记录。
通过枚举thesis_id参数找到客户的记录。用*把58改成62。但只改分数不够，因为论文成绩的变动会触发内部审核流程。内部审核表的marker_comment字段存着导师的评语，原评语是“需进一步修改完善”。我们把它改成了“达到良好水平”——这样成绩提升有了合理的解释。
Unit4的成绩会通过XML-RPC接口同步到SITS系统。SITS的XML-RPC接口认证用的是静态令牌，这个令牌在配置文件中明文存储。通过一个文件读取漏洞拿到了令牌，然后调用updateGrade方法把总评同步改为62。
SITS系统有一个STU_AUDIT表记录所有成绩变动。用*删除对应条目。Web服务器访问日志也要清理，用*删除包含客户学号的所有记录。
修改时间戳也要处理——把成绩修改的MODIFIED_DATE字段从当前日期改成两周前，让操作看起来像正常复核流程。收费3200美元。
相关新闻
参加GRE考试、托福考试等的学生如何才能找靠谱代考机构
2024-08-14 14:13:52
在甄选值得信赖的代考服务机构时，尤其是针对参与GRE在线考试、托福家庭版等高端学术测试的学生群体，他们尤为关注代考机构的专业深度与广度。这类学生不仅审视机构对特定领域如能源环境科学的理解程度，即便面对非直接专业相关的考试...
海牙学历认证和教育部国外学历认证的区别！
2024-08-31 01:30:04
总体而言， 国外学历认证 与海牙认证均旨在验证海外教育背景的合法性与真实性，然而，二者在服务对象、所需材料及认证流程上各有侧重。 国外学历认证 ，其核心聚焦于为中国公民量身打造，旨在确认其在海外所获得的学历资...
留學生找代考服務流程！考试替考,留学代考
2024-09-01 09:14:54
留学生应当对市场上纷繁复杂的代考机构进行深入而细致的调研，以验证其专业资质与信誉度，进而依据个人实际需求，精挑细选出值得信赖的代考服务机构。一旦选定合适的代考服务提供商，考生需向该机构网站的专业客服团队详尽提交个人信息，...
