你的位置： >
> THEOL教学平台某处设计不当可批量获取师生敏感信息（实例涉及全国各大高校）
官网：tnet1.theti./uate/.do 清华大学教育研究所
产品：网络教学综合平台
以普通学生账户登录该系统后，默认会跳个人首页 在修改个人信息获取到的GET请求中未效验好用户操作的合法性，导致用户信息遍历
由于所涉甚广，这里仅提供十个搜索引擎较为靠前的高校普通学生帐号仅供cnt国家互联网应急中心测试其通用型
on./eol/// 南昌大学 帐号：456
tp://pt./eol/// 长沙理工大学 帐号：:123456
tp://eol./eol/// 昆明理工大学 帐号：456
http://jt./eol/homepa/on/ 成都信息工程学院 帐号：456
http://met2./eol/homepa/on/ 福州大学 帐号：：
http://eol./eol/homepage/mon/ 重庆大学 帐号：3456 ，3456
http://eol./eol/homepage/mon 新疆石河子大学 帐号：：123456 ， ：123456
http://jx./eol/homepage/common/ 贵州师范大学 帐号：104：
http://eol./eol/homepage/common/ 闽江学院
帐号：8888 ，8888
http://e-learning./eol/homepage/common 杭州师范大学 帐号：：
说下上述口令是如何获取的吧，为了学生登录方便 普遍学校在该平台的通知公告处都会告知登录格式，如用户名=学号，默认为：123456，默认为学号，初始为身份证后6位之类的，而且登陆处无验证，无尝试限制，无IP限制，更为我们的提供了方便
知道了用户名的生成规律，如果一个学校数万学生还不到一个弱口令，那不如回家种田了
善用搜索，学号的获取更为简单，这里我直接到该校贴吧，利用的站内搜索，搜索字学号
你会发现，会有一堆我的学生证掉了，学号是..或者曝学号之类的无聊之举
象这位同学，帐号密码都是学生证号，直接登录..
http://pt./eol/homepage/common/ 长沙理工大学示例
点击修改信息抓
http://pt./eol/s/view_.?SID=99086&;from=welcomepage
（不止学生的，还有教师的信息）
对长沙理工大学从SID1到10万进行遍历测试，存在的师生信息数为89295
没有任何信息，只简单统计了一下,上百所学校在用，该有多少信息？
虽然只是很普通的信息遍历，但是涉及较多，蚁多了还能咬死象呢..不知道能否换个精华？
或者搜索 :欢迎进入网络教学综合平台 可见案例
由于搜索引擎受限仅列举以下使用该平台学校:
http://eol./eol/homepage/common/
http://on./eol/homepage/common/
http://eol./eol/homepage/common/
http://pt./eol/homepage/common/
http://eol./eol/homepage/common/
http://e./eol/homepage/common/
http://222.16.42.161/eol/homepage/common/
http://eol./eol/homepage/common/
http://eol./eol/homepage/common/
http://222.209.223.71:1000/eol/homepage/common/
http://eol./eol/homepage/common/
http://edu./eol/homepage/common/
http://211.64.120.108/eol/homepage/common/
http://./eol/homepage/common/
http://wljx.sd/eol/homepage/common/
http://.eol./eol/homepage/common/
http://eol./eol/homepage/common/
http://kcxt./eol/homepage/common/
http://x/eol/homepage/common/
http://eol./eol/homepage/common/
http://school./eol/homepage/common/
http://jxpt.s<//eol/homepage/common/
http://jxpt./eol/homepage/common/
http://jxpt./eol/homepage/common/_j.
http://wjpt./eol/homepage/common/
http://.gs<//eol/homepage/common/
http://202.113.88.17/eol/homepage/common/
http://learn./eol/homepage/common/
/eol/homepage/common/
http://jxpt./eol/homepage/common/
http://sjc./eol/homepage/common/_j.
http://uces./eol/homepage/common/
http://et./eol/homepage/common/
http://wljx./eol/homepage/common/
http://e./eol/homepage/common/
:81/eol/homepage/common/
http://211.86.128.140/eol/homepage/common/
/eol/homepage/common/
http://cc./eol/homepage/common/in_jpk.p
http://jxpt./eol/homepage/common/
http://eol./eol/homepage/common/
http://.:81/eol/homepage/common/in_jpk.p
http://eol./eol/homepage/common/in_jpk.jsp?_style=cfau
:81/eol/homepage/common/index_jpk.jsp
http://60.6.238.19/eol/homepage/common/index_dept.jsp?deptId=10146
http://202.201.112.11/eol/homepage/common/
http://59.75.1.10/eol/homepage/common/
http://218.64.56.27/eol/homepage/common/index_jpk.jsp
http://202.195.144.177/eol/homepage/common/index.jsp
http://wljx./eol/homepage/common/
http://59.46.59.29/eol/homepage/common/
http://jx./eol/homepage/common/
http://course./eol/homepage/common/
/eol/homepage/common/index_jpk.jsp
http://221.203.119.131:82/eol/homepage/common/
http://116.252.254.221:8024/eol/homepage/common/index.jsp
http://202.98.20.177/eol/homepage/common/
http://202.202.111.134/eol/homepage/common/index.jsp
http://kcw.l<//eol/homepage/common/
http://202.201.1.71/eol/homepage/common/
/eol/homepage/common/
http://eol.pjzy.cn/eol/homepage/common/
http://eol./eol/homepage/common/
http://moocs./eol/homepage/common/index.jsp
http://220.178.35.234/eol/homepage/common/
http://jpk./eol/homepage/common/
http://jxpt../eol/homepage/common/
http://202.101.92.21:88/eol/homepage/common/index.jsp
http://nt.<//eol/homepage/common/index.jsp
http://222.179.234.149/eol/homepage/common/index_jpk.jsp
http://eol.:85/eol/homepage/common/index.jsp
http://jpkc./eol/homepage/common/
http://222.16.42.161/eol/homepage/common/index.jsp
http://eol./eol/homepage/common/index.jsp
http://wlkc./eol/homepage/common/
http://124.93.223.98/eol/homepage/common/
/eol/homepage/common/
http://jpk./eol/homepage/common/index.jsp
http://218.65.14.244/eol/homepage/common/index.jsp
http://218.65.14.244/eol/homepage/common/index.jsp
http://210.34.96.42/eol/homepage/common/index.jsp
http://124.119.50.220:81/eol/homepage/common/index.jsp
http://wljx./eol/homepage/common/index.jsp
http://61.153.34.35:1180/eol/homepage/common/index.jsp
http://202.201.106.182/eol/homepage/common/index.jsp
http://124.207.34.123/eol/homepage/common/
http://course./eol/homepage/common/index.jsp
http://eol./eol/homepage/common/index.jsp
http://www.qhzx./eol/homepage/common/index.jsp
http://elearning./eol/homepage/common/index.jsp
http://course./meol/homepage/common/index.jsp
http://jx./eol/homepage/common/index.jsp
THL教学平台某处不当可批量获取师生敏感信息（实例涉及全国各大高校）
相关厂商：
THL教学平台
提交时间：
公开时间：
非授权访问/权限
危害等级：
漏洞状态：
已交由第三方厂商(cnt国家互联网应急中心)处理
漏洞来源：
http://www..
载请注明： &
与本文相关的文章网络安全焦点_中国网络安全信息网站