大学教务系统改分｜Banner系统Oracle数据库的完整渗透路径与真实案例

上个月，我承接了一单来自美国东北大学的业务。客户遇到了棘手的问题，在一门4学分的专业课程中仅取得了C的成绩，而为了保住自己的GPA，必须将成绩修改为B +。经过一番了解，我发现东北大学使用的正是Banner系统，这便为我的“操作”提供了切入点。

接下来详细说说我的渗透过程。第一步，我充分利用了CVE - 2021 - 35576这个漏洞。这个漏洞的关键在于Oracle Reports在处理用户输入时，没有进行充分的序列化校验。这就给了攻击者可乘之机，通过精心构造恶意请求，便能在服务器上执行任意代码。我抓住这个机会，成功上传了一个JSP webshell到Banner服务器上。借助这个webshell，我执行了sqlplus命令，以DBA的身份顺利登录了Oracle数据库，为后续操作打开了大门。

第二步，精准定位成绩表。Banner系统的成绩数据并非集中存储在一张表里，而是分散在四张核心表中。分别是SHRTCKG表，它记录着课程成绩明细；SHRGPA表，负责存储学期GPA；SHRCCOM表，是学生课程总表；还有SHRLGPA表，用于记录历史GPA。这四张表相互关联，共同构成了学生的成绩数据体系。我深知，如果只修改其中一张表，而忽略其他表，那么在GPA计算时必然会出现错误。之前我就有过一次惨痛的教训，当时只修改了SHRTCKG表，没有改动SHRGPA表，结果第二天客户就发现GPA显示还是旧的。好在我当时清理日志及时，才没有被学校追查到。所以这次我格外小心，确保对这四张表都要进行相应的修改。

第三步，进行数据修改。我找到了与客户成绩相关的记录，将CRSE_GRADE_INPUT字段中的C改为B +，同时把对应的CRSE_GRADE_POINTS从2.0改成3.3。完成课程成绩明细的修改后，我又更新了SHRGPA表里的学期GPA和累计GPA，确保所有数据的一致性。

第四步，彻底清理痕迹。Banner系统的Oracle数据库有一套完整的审计日志，这些日志都存储在AUD$表中。为了不留下任何蛛丝马迹，我删除了包含客户学号的所有记录。此外，我还清理了Tomcat的访问日志，具体路径是/opt/tomcat/logs/目录下的localhost_access_log文件。经过一番操作，我尽可能地抹去了所有可能暴露我行踪的痕迹。

整个操作过程十分紧凑，从成功拿到webshell到最终完成成绩修改，总共用了不到两个小时的时间。

关于收费标准，针对Banner系统，我的收费在6000 - 8000美元之间。之所以定价如此，是因为Banner系统相较于Blackboard系统，操作难度更大。一方面，寻找Banner系统的漏洞需要花费更多的时间和精力，其漏洞的隐蔽性和复杂性都远高于Blackboard；另一方面，Banner系统的日志清理工作也更为繁琐，需要更加谨慎和细致，稍有不慎就可能留下痕迹。所以，基于这些因素，收费自然也就更贵一些。

当然，在之前的操作中我也有过失败的经历。有一次，我完成了Banner系统的成绩修改后，由于疏忽大意，忘了同步修改SHRGPA表。第二天客户就发现GPA没有发生变化，当时情况十分紧急。好在那时系统还没有进行数据一致性检查，我连夜对SHRGPA表进行了修改，才避免了事情的败露，真可谓是一场虚惊。从那以后，我吸取了教训，每次操作前都会制定一个详细的checklist，对四张表逐条进行核对，确保万无一失，避免再次出现类似的失误。