Banner系统成绩修改｜四张核心表的连锁操作

上个月接了一个美国东北大学的单子。客户一门4学分的专业课拿了C，需要改成B+才能保住GPA。我通过CVE-2021-35576上传了一个JSP webshell到Banner服务器，用webshell执行了sqlplus命令，以DBA身份登录Oracle数据库。Banner的成绩数据分布在四张核心表里：SHRTCKG（课程成绩）、SHRGPA（学期GPA）、SHRCCOM（学生课程总表）、SHRLGPA（历史GPA）。四张表都要改。

我第一次做Banner的时候只改了SHRTCKG没改SHRGPA。第二天客户发现GPA没变，好在清理日志及时，没有被追查到。从那以后每次操作前都会写一个checklist，四张表逐条核对。这次修改把CRSE_GRADE_INPUT从C改成B+，对应的GRADE_POINTS从2.0改成3.3，然后更新了SHRGPA里的学期GPA和累计GPA。Banner的Oracle数据库有完整的审计日志存在AUD$表里，我删除了包含客户学号的所有记录。然后清理了Tomcat的访问日志——/opt/tomcat/logs/目录下的localhost_access_log文件。

整个操作从拿到webshell到改完成绩用了不到两个小时。Banner系统 美国大学成绩修改 收费6000-8000美元。