南开大学信息系统安全漏洞：权限越权与文件上传漏洞详解

南开大学的文档揭示了一些网络安全漏洞，涉及其在线平台的管理功能和用户信息安全。首先，文档提到的漏洞点1是关于权限滥用，主要出现在一个名为"南开大学证书站"的系统中。攻击者利用了一个名为"superadmin"的账号，通过非法访问"/sys/log/loadLogLoginAndOutList"接口，可以获取所有登录过的用户名和密码，这严重威胁到了用户隐私和系统安全性。这种行为可能允许攻击者对未经授权的账户进行操作或进行恶意活动。 接下来，文档指出一个涉及学生个人信息泄露的问题。通过POST请求，攻击者可以通过"/gradms/base/infoStutrainInfo/loadInfoStutrainInfoList"接口获取特定学生的身份证号、姓名和学号，这涉及到敏感的个人数据保护问题。文档提醒，攻击者巧妙地将GET请求改为POST，进一步扩大了信息窃取的可能性。 漏洞点2涉及到文件上传漏洞，具体来说是利用网站的安全狗WAF（Web应用程序防火墙）的一个弱点。攻击者首先在安全狗头像上传功能上传一个名为"11.jpg"的文件，但随后在抓包时将其重命名为"11.html.ashx"，利用了WAF对文件名和内容的检查机制。通过特定的Ticket值104DCCCA002D5F067BFD970D2CF37410，攻击者得以绕过检测，成功上传包含恶意代码的"11.ashx"文件，从而实现GetShell攻击，即获取服务器的shell访问权限。 这两个漏洞的存在，不仅威胁了南开大学的网络环境，也暴露了系统设计和安全管理上的不足。为了修复这些问题，学校应立即强化权限管理和数据加密，确保系统的安全性和用户的隐私不受侵犯。同时，对WAF策略进行审查和升级，以抵御此类恶意攻击，提升整体的网络安全防护能力。对于用户而言，增强安全意识，定期更换密码，并不轻易分享个人信息至关重要。