记一次edu通过奖学金名单泄露学号的横向渗透- Track 知识社区 - 掌控安全在线教育

0x1 前言
0x2 通过奖学金名单泄露学号
- 1、登录须知
- 2、奖学金公告泄露学号
0x3 横向渗透
0x4 总结

0x1 前言

哈喽，师傅们！

这篇文章主要是给师傅们分享下一个简单的手法，通过打edu的时候，我们可以在一些学生管理登录后台，需要我们使用账号是学号登录的系统，然后我们可以尝试通过去网上找公开的奖学金名单泄露的学号信息来打一个猜测，猜测账号密码都是学号。因为特别是在新生开学的时候，为了方便学生登录，所以默认账号密码是有蛮多都是学号的情况的。

0x2 通过奖学金名单泄露学号

1、登录须知

开始我是针对于很多的edu大学的学生管理登录站点的测试，因为最近我发现很多大学的国家奖学金的名单都会公布出来，且里面有学生院系、学生姓名、学生班级更重要的还有学生的学号信息泄露出来，那么就可以让我们在挖掘edu的时候利用一波了。

像一般大学的新手/招生网，都会很详细的解释这个学生登录的详情的，所以这里也是的，师傅们可以注意看下这个学生须知的公告。

这里看到登录须知里面写的：进入系统后请修改个人默认登录密码

那么我就会猜测，一定有一部分学生的密码不进行修改，就是使用默认的密码，那么再看下左边的登录框的内容，学号和密码，那么很大可能该学生登录系统的默认账号密码都是学号。

2、奖学金公告泄露学号

就使用最简单的方法进行检索，不需要使用什么太复杂的Google检索黑客语法，纯小白也可以操作的一个edusrc的挖掘小技巧。

用户名	金币	积分	时间	理由
Track-魔方	100.00	0	2024-09-04 20:08:49	本月首次发表一篇有效文章奖励 100
Track-魔方	500.00	5	2024-09-04 20:08:38	深度 100 普适 200 可读 200