【网络安全 | 漏洞挖掘】入侵全国大学数据库系统并泄露数千份学生记录（海外案例）

未经许可，不得转载。
本文为海外漏洞案例，未经授权不得进行非法渗透测试。

正文

有一天，我向老师询问我的考勤分数，希望从她的登记本中查看。但她拒绝了，说：“不，自己去学生门户上查。” 没再多问，我回到房间，打开笔记本电脑，登录门户网站。

在查看考勤的同时，我脑海中突然冒出一个想法：“如果我能黑进这个系统呢？” 老师的拒绝加上我的考勤分数（我出勤不足）激发了我的黑客思维。此刻，我的唯一目标就是攻破这台服务器，别无他念。于是，我开始了测试。

这是一个被印度许多大学和学院广泛使用的网站，用于管理学生记录、成绩单、考勤、试卷等。该网站仅允许学生和教师登录，因为注册时需要提供有效的学院注册号。

此外，该系统还有一个移动应用，使用相同的后端服务。

按照惯例，我首先进行信息收集，使用 Subfinder、Assetfinder、Amass、crt.sh、ffuf 等工具，尽可能挖掘目标的所有子域名和子子域名。我把目标的域名存入一个名为 “scope” 的文件，并在其上运行这些工具。

但遗憾的是，我没有找到任何有趣的子域名。

该门户网站本身就是一个子域名，例如：studentportal.example.com。因此，我转向了下一步——目录扫描。

我最喜欢的目录扫描工具是 FFUF，它快速且可靠，专为扫描任务而生。因此，我运行了以下命令：

ffuf -w /usr/share/wordlists/dirb/big.txt