最新动态
【QQ:2951089139】
美国大学成绩修改怎么操作？一个黑客的Banner系统实战
发布时间：2026-08-25 12:17:16 最后更新：2026-08-25 13:00:46 浏览次数：0
Banner系统的四张表
美国超过一半的大学使用Banner系统。上个月接了一个东北大学的单子，客户一门4学分的专业课拿了C，需要改成B+。东北大学用的就是Banner系统。
Banner的安全级别比Blackboard和Canvas高不少，但Oracle Reports组件有一个经典的反序列化漏洞——CVE-2021-35576。通过这个漏洞，我可以上传一个JSP webshell到Banner服务器，然后以DBA身份登录Oracle数据库。
Banner的成绩数据分布在四张核心表里：SHRTCKG（课程成绩）、SHRGPA（学期GPA）、SHRCCOM（学生课程总表）、SHRLGPA（历史GPA）。四张表都要改。我第一次做Banner的时候只改了SHRTCKG，没改SHRGPA，第二天客户发现GPA没变。好在我清理日志及时，没有被追查到。从那以后我每次操作前都会写一个checklist。
Banner系统的审计日志存在AUD$表里，必须同步清理。
PeopleSoft系统的权限绕过
PeopleSoft的漏洞和Banner完全不一样。PeopleSoft的PT_ROLE_WS服务有一个设计缺陷——它只校验请求是否来自合法用户，不校验用户是否有权限给自己添加角色。通过构造SOAP请求，可以把自己临时添加到ACADEMIC_ADMIN角色组里，有效期24小时。
多伦多大学的案子就是用的这个漏洞。客户的C+改成B-，操作不到两小时。PeopleSoft还有一个PS_WORKFLOW表，必须同步删除对应的待办事项记录，否则系主任会收到通知邮件。
Canvas的漏洞又是另一套逻辑。Canvas的GraphQL API有一个越权漏洞——后端只验证token是否有效，不验证token对应的用户是否有权限执行操作。学生账号的token可以调用教师接口修改成绩。但Canvas的成绩会同步到Alliance系统，如果只改Canvas不改Alliance，同步时数据会不一致。
教务系统渗透不是通用的，每个系统都有不同的漏洞和操作方式。
你需要注意的风险
我见过有人在Canvas改成绩被查了，因为只改了Canvas没改Alliance。也见过有人改了Banner的四张表但忘了清AUD$日志。细节决定成败，一步做错，前面所有的努力都白费了。你用的学校是什么系统？Banner、PeopleSoft还是Canvas？不同的系统对应不同的操作方式。
相关新闻
黑客是怎么利用水坑式攻击入侵网站修改成绩的？
2024-08-15 10:43:57
"水坑式攻击"，这一术语精妙地描绘了一种高级且隐蔽的网络入侵策略。它指的是黑客利用精密的分析技巧，深入探究目标受害者的网络行为习惯，精确定位那些受害者频繁访问的在线平台或网站中的安全漏洞。随后，黑客悄...
如何保护您的网络超算系统不受黑客攻击？大学成绩修改,教务系统改成绩,修改成绩,黑客修改成绩
2024-08-27 22:35:23
### 如何全面加固您的网络超算系统，抵御黑客侵扰 网络超算系统，作为高性能计算领域的核心支柱，承载着至关重要的敏感数据与复杂任务，其安全性直接关系到业务的连续性与数据的完整性。为确保这一关键基础设施免受黑客侵扰，...
黑客入侵网站需要哪些步骤，怎么防止被黑客攻击你的网站？
2024-08-31 01:32:47
"成绩，其真正价值几何？在追逐它的征途上，有人竟甘愿跨越道德的边界，不择手段以求一隅之地。然而，这场关于数字的较量，意外地迎来了一位非凡的挑战者——黑客大师！他以令人瞠目结舌的技艺，悄然潜入虚拟世界的防线，轻松...
