推荐新闻
【3219054341】
新闻资讯
首页新闻资讯
CSRF攻击实战｜偷走教师的登录凭证修改大学成绩
2026-08-16 11:56:46
曼彻斯特大学用的Blackboard系统有一个经典漏洞——教师端的session token可以通过CSRF攻击获取，而且有效期24小时。这给了我们足够的操作时间窗口。 客户的课程是管理会计，48分，差2分及格。...
API越权实战｜学生账号如何直接调用教师接口修改成绩
2026-08-16 11:55:56
UCSD用的是Canvas作为学习管理系统，Alliance作为学生信息系统。成绩先由教授录入Canvas，然后通过API同步到Alliance。攻击的关键在于找到这两个系统之间的同步逻辑漏洞。 第一步是发现漏洞...
弱口令攻击实战｜一个admin123如何打穿整个教务数据库
2026-08-16 11:54:11
在网络安全领域，有时并不需要多么高深复杂的技术手段，一个简单的弱口令就可能成为突破防线的关键。上个月，我承接了一个来自国内某省属高校的业务单子。客户是一名大三学生，由于挂了两门课程，导致GPA达不到毕业要求，心急如焚的他...
社会工程学实战｜一通电话如何骗到教务系统管理员的密码
2026-08-16 11:53:31
有些系统的安全做得太好了——SQL注入堵死了，XSS也修了，端口扫描扫不出任何漏洞。这时候我会换一种方式：不攻击系统，攻击人。 去年有一个案子，客户在加州某公立大学，有一门课拿了D需要改成C。我花了两天时间评估目...
文件上传漏洞实战｜一张课程表图片如何变成教务系统的后门
2026-08-16 11:52:01
英国某所知名大学自主研发的教务系统被曝存在文件上传安全漏洞。一名客户因一门核心课程挂科，急需修改成绩以维持学业进度。在接受委托后，我对目标系统展开了全面评估——该系统是基于PHP语 言开发的Web应用平台，根据过往经验，...
SQL注入实战｜一张学生账号如何变成数据库管理员修改成绩
2026-08-16 11:48:38
上个月接了一个曼彻斯特大学的单子。客户大三，GPA卡在2.9，一门核心课挂了，差3分及格。我让他发来教务系统的登录页面截图——URL里有一个参数，这种带参数的动态页面，十有八九存在SQL注入。 我在这参数后面加了...
