校园系统漏洞挖掘实战：从SQL注入到逻辑越权，我的CNVD证书获取之路

1. 从校园网络到国家级认可：我的白帽之路起点

很多对网络安全感兴趣的同学，可能都和我当初一样，觉得“挖漏洞”是一件很酷但又很遥远的事情。感觉那都是顶尖黑客在暗网里做的事情，需要掌握一大堆高深莫测的渗透工具和汇编语言。我最初也是这么想的，直到我真正开始把目光投向身边最熟悉的系统——我们学校的校园门户、教务系统、一卡通平台。这条路，让我从一个普通的计算机专业学生，一步步拿到了三张国家信息安全漏洞共享平台（CNVD）颁发的原创漏洞证书。今天，我就把这整个过程，从心态转变、目标选择、技术实操到报告提交，毫无保留地拆解一遍。这不是什么高不可攀的神话，而是一套可复制、可落地的实战方法论，尤其适合在校学生和刚入行的安全新人。

你可能听说过CNVD，它是国内权威的漏洞收录平台，由国家级网络安全机构联合建立。一张CNVD证书，不仅是技术能力的证明，更是求职、升学、参与国家级安全项目时极具分量的“硬通货”。对于学生而言，校园系统是一个绝佳的“练兵场”：它们往往由学校信息中心或外包公司开发，可能存在因为预算、工期或安全意识不足而遗留的安全问题；同时，作为系统的使用者，你对其业务逻辑、常用功能有着天然的理解优势。从“用户”切换到“测试者”视角，是你迈出白帽第一步的关键。

2. 目标筛选与前期侦察：如何锁定有价值的校园系统

漫无目的地扫描整个校园网，既低效又危险，很容易触发安全设备的告警。我的策略是：精准定位，深度挖掘。第一步不是打开扫描器，而是打开浏览器，像个普通学生一样去使用各个系统，同时带着思考。

2.1 核心目标系统画像

我主要锁定了以下几类系统，它们通常价值较高且可能存在共性漏洞：

1. 统一身份认证/门户系统：这是所有系统的入口，一旦突破，意味着拿到了通往其他系统的“万能钥匙”。我会重点关注其登录、注册、密码找回、会话管理模块。
2. 教务管理系统：涉及选课、成绩录入、课表查询、学籍信息。这里面的逻辑漏洞（越权）和敏感信息泄露是重灾区。比如，能否通过修改URL参数看到其他同学的成绩？成绩查询接口是否会返回过多信息？
3. 在线教学/课程平台：疫情期间大量使用的平台，如上传作业、在线考试、课程资料区。关注文件上传漏洞、跨站脚本（XSS）在讨论区的利用、以及试题库的未授权访问。
4. 校园一卡通/支付相关系统：涉及小额资金流转，安全要求本应更高，但有时开发更注重功能实现。重点关注充值逻辑、消费记录查询、卡余额修改等业务接口。
5. 后勤服务系统：如宿舍报修、场馆预约、医疗挂号。这些系统往往由不同供应商开发，水平参差不齐，是寻找“弱口令”、“SQL注入”等传统漏洞的好地方。

注意：在测试任何系统前，务必明确测试边界和授权。我所有的测试都基于一个原则：仅使用我自己的测试账号，仅针对我账号有权访问的功能和数据。即使发现了越权漏洞，也绝不去查看或下载其他同学的真实数据。这是白帽的底线，也是法律的红线。

2.2 信息收集与资产梳理

确定目标后，就要开始“踩点”了。这个过程很像侦探破案前的资料搜集。

1. 子域名枚举：学校的官网（例如www.xxx.edu.cn）背后，往往隐藏着几十甚至上百个子系统。使用工具如subfinder,amass，或者利用搜索引擎语法site:xxx.edu.cn来发现像jwxt.xxx.edu.cn（教务系统）、card.xxx.edu.cn（一卡通）、ehall.xxx.edu.cn（网上办事大厅）这样的资产。
2. 端口与服务探测：对发现的重要域名或IP段，进行轻量级的端口扫描（如用nmap的-sS -sV参数）。目的不是全面攻击，而是了解目标开放了哪些服务（Web、数据库、远程管理等），以及服务的具体版本。一个暴露在外网的phpMyAdmin或Jenkins后台，可能就是突破口。
3. 技术栈指纹识别：使用Wappalyzer浏览器插件或WhatWeb命令行工具，快速识别网站用的编程语言（PHP/Java/.NET）、框架（Spring Boot, ThinkPHP）、中间件（Nginx, Apache, IIS）、前端库等。知道技术栈，就能推测其可能存在的历史漏洞和测试方法。比如，一个ThinkPHP 3.2的站点，就要立刻想到其历史上著名的漏洞。
4. 目录与敏感文件扫描：使用dirsearch或gobuster，配合一个强大的字典，去发现那些可能被遗忘的备份文件（如www.zip,bak.sql）、配置文件（config.inc.php）、管理后台（/admin/,/manage/）等。这一步经常有意外收获。

我的一个实际案例：通过子域名枚举发现了一个test.xxx.edu.cn的站点，上面运行着一个老旧的教学演示系统。目录扫描直接发现了/admin/目录，尝试了几个弱口令（admin/admin, admin/123456）无果，但通过查看页面源码，发现其引用了某个特定版本的 jQuery 插件，而该插件存在已知的未授权访问漏洞，最终通过这个漏洞拿到了后台权限。这个系统本身不重要，但它和内网某个数据库存在连接，从而成为跳板。

3. 漏洞挖掘实战：从低垂果实到逻辑深水区

信息收集完毕后，就进入了核心的漏洞挖掘阶段。我的经验是，先快速收割“低垂果实”，建立信心，再啃“硬骨头”。

3.1 第一张证书：SQL注入的经典重现

我的第一张CNVD证书，来源于一个后勤报修系统。在报修详情页面，URL参数id看起来像这样：/repair/detail.php?id=123。

测试过程：

1. 首先，我尝试了最简单的id=123'，页面返回了数据库错误信息，这立刻引起了我的警觉。
2. 接着，使用id=123 and 1=1和id=123 and 1=2进行布尔盲注测试。发现1=1时页面正常显示报修详情，1=2时页面显示“记录不存在”。确认存在基于布尔的SQL注入。
3. 我没有直接上sqlmap自动化跑（虽然可以），而是手动构造Payload，为了更清晰地理解漏洞原理和影响范围。我使用了union select语句来获取数据库信息：id=-123 union select 1, database(), user(), version()--+。
4. 通过这种方式，我逐步获取了数据库名、表名、字段名。最终发现，这个数据库里不仅存有报修记录，还意外地包含了部分学生的姓名、学号、楼栋宿舍号等个人信息。

漏洞危害与报告：这是一个典型的、可直接获取敏感数据的SQL注入漏洞。我在漏洞报告中清晰描述了：

• 漏洞位置：精确的URL和参数。
• 复现步骤：一步步的测试Payload和对应的页面反应。
• 利用证明：附上截图，展示通过注入语句查询到的数据库名、表结构以及（脱敏后的）敏感数据示例。
• 危害评级：由于能直接泄露学生隐私信息，我将其评定为“高危”。 这份报告因为细节清晰、危害明确，很快被CNVD审核通过并收录。这次成功让我明白，清晰的复现路径和有力的危害证明，是报告通过的关键。

3.2 第二张证书：越权操作中的逻辑缺陷

第二张证书来自教务系统的“课程评价”模块。按照规定，学生只能评价自己已修的课程。

发现过程：

1. 正常流程下，进入评价页面，URL类似/evaluate/?course_id=1001，页面会校验当前登录学生是否选修了课程ID为1001的课。
2. 我通过浏览器开发者工具的“网络”选项卡，抓取了提交评价的POST请求。请求体中包含了course_id和evaluate_content等字段。
3. 我尝试修改这个请求：将course_id从1001（我的课）改为1002（其他同学的课），然后重放（Replay）这个请求。
4. 结果：服务器返回了“评价成功”！我成功地为一门我从未选修的课程提交了评价。进一步测试发现，我甚至可以遍历course_id，给大量课程提交垃圾或恶意评价。

漏洞本质：这是一个典型的服务端未校验权限的漏洞。前端页面虽然做了筛选，但后端接口在接受请求时，只信任了前端传来的course_id，没有再次从会话（Session）中确认当前用户是否有操作该course_id的权限。这种漏洞非常隐蔽，但危害很大，因为它破坏了业务的核心规则。

报告要点：在报告中，我重点强调了漏洞的“业务逻辑破坏性”。不仅提供了抓包截图、修改参数的步骤，还阐述了这可能导致的后果：评价系统公信力丧失、教师收到虚假反馈、攻击者可批量污染数据等。CNVD对于这类影响业务完整性的逻辑漏洞同样非常重视。

3.3 第三张证书：鸡肋功能点变身的存储型XSS

第三张证书的发现过程有点“运气”成分，但更多是源于不放过任何输入点的习惯。在一个在线学习平台的“个人简介”栏目里，允许学生输入一段文字介绍自己。通常这种地方会有简单的HTML标签过滤。

深度测试：

1. 我输入 ``，提交后标签被原样显示，说明被转义了。
2. 我输入<img src="x" onerror="alert(1)">，提交后图片加载失败，但onerror事件没有触发，说明onerror属性可能被过滤了。
3. 我没有放弃，尝试了各种绕过技巧：大小写混淆、插入空格、使用HTML实体、利用JavaScript伪协议等。当我尝试输入 `` 时，页面没有立即弹窗。
4. 关键一步来了：我退出登录，换了一个新的浏览器（确保无缓存），然后以另一个同学的身份登录，去查看“班级成员”列表，那里会显示所有人的头像和简介。当页面滚动到我的头像时，弹窗出现了！
5. 原来，这个简介字段在输入时做了过滤，但在从数据库读出、渲染到其他用户页面时，过滤规则不一致或者被忽略了，导致了存储型XSS。

漏洞的升华：一个简单的简介XSS，可能只能弹个窗，恶作剧一下。但我想证明其严重性。我构造了一个更“安静”的Payload：``。当其他同学（甚至老师）查看班级成员列表时，他们的登录Cookie就会被悄无声息地发送到我的服务器上。我在报告中演示了这个过程（使用无害的测试域名），证明了该漏洞可导致大规模用户会话劫持。

实操心得：

• 不要忽视任何输入点：留言、评论、文件名、搜索框、URL参数，每一个都是潜在的突破口。
• 测试要覆盖多角色、多场景：漏洞可能在A处触发，在B处利用。以不同身份、在不同页面测试同一个数据点。
• 证明危害要具体：从“可以弹窗”到“可以窃取Cookie”，漏洞的评级和关注度天差地别。思考这个漏洞在攻击链中能扮演什么角色。

4. 漏洞报告撰写与提交：通往证书的最后一步

挖到漏洞只是成功了一半，一份专业、清晰的漏洞报告是获得CNVD认可的敲门砖。

4.1 报告必备要素

一份合格的CNVD漏洞报告通常需要包含以下部分，我将其总结为一个模板：

4.2 提交与沟通技巧

1. 首次提交，信息完整：按照CNVD平台的要求，一次性填好所有能填的信息。不完整的报告会被打回，耽误时间。
2. 等待审核，保持耐心：CNVD的审核周期不定，短则一两周，长则一两个月。期间可以登录平台查看状态，但不要频繁催问。
3. 如需补充，积极配合：如果审核人员邮件要求补充信息或证明，一定要及时、详细地回复。这是展示你专业和负责态度的机会。
4. 证书获取：漏洞被确认收录后，会在平台公示。通常几周后，就可以在CNVD官网的“我的证书”栏目下，下载电子版的原创漏洞证书了。

5. 心路历程与给新手的建议

回顾这段经历，它带给我的远不止三张证书。它系统地训练了我的黑客思维（攻击者视角）、工程思维（系统化测试）和合规思维（白帽底线）。对于想入门网络安全、走白帽路线的同学，我有以下几点切身建议：

1. 法律与道德是生命线。再次强调，未经授权，绝对不要测试非归属系统。校内测试也最好能事先和学校信息中心或相关老师沟通，取得理解或授权。很多学校有“众测计划”或欢迎学生上报漏洞。你的目标是帮助系统变得更安全，而不是炫耀或破坏。

2. 基础不牢，地动山摇。不要一味追求炫酷的0day和高级利用链。把HTTP协议、Cookie/Session机制、常见的SQL语法、前端JavaScript基础、操作系统和网络基础打扎实。Burp Suite、SQLMap这些工具很好用，但你要明白它们背后在做什么。我早期很多时间花在了看《白帽子讲Web安全》和OWASP TOP 10的案例上。

3. 建立自己的知识库和工具流。我用Notion记录每一个测试过的系统、发现的漏洞点、使用的Payload、报告链接。把常用的命令、字典、小脚本整理好。形成一套从信息收集到报告输出的标准化流程，能极大提升效率。

4. 从“利用工具”到“理解原理”。当SQLMap跑出一个注入点时，别急着收工。尝试手动复现一遍，理解它是如何判断注入、如何获取数据的。当你理解了一个漏洞的根源，你就能举一反三，在别的地方发现同类问题。

5. 保持好奇，乐于分享。安全技术日新月异，保持学习和探索的心态。多逛安全论坛（如先知社区、安全客），看别人的漏洞分析文章。也可以把自己的经验写成技术博客，分享的过程是二次学习，也能结识同道中人。

这条路开始可能有些孤独，但当你挖到第一个漏洞、收到第一份感谢、拿到第一张证书时，那种成就感是无与伦比的。它证明你的技术能产生实实在在的价值。校园这片相对宽松的土壤，是绝佳的起步点。从身边做起，从细微处入手，你也能完成从学生到白帽的蜕变。