edu漏洞提交平台

上周三凌晨两点，洞提某高校教务系统后台被上传了一个txt文件，交平文件名写着“成绩随便改，洞提别问我是交平谁”。管理员第二天早上才发现，洞提数据库里三门补考成绩已经被改成了满分。交平这不是洞提电影情节，是交平edu漏洞提交平台日常接到的真实案例之一。

这类平台说白了就是洞提个“白帽子”和高校之间的中转站。安全研究者发现学校系统有漏洞，交平不直接拿去卖钱或者搞破坏，洞提而是交平把漏洞细节提交到平台上。平台核实后通知对应学校的洞提信息中心，学校再安排人修复。交平整个过程有点像捡到钱包交给警察，洞提只不过这里捡的是数据库权限、SQL注入点或者弱口令。

为什么高校系统这么容易出问题

我翻过某平台近半年的公开记录，超过六成漏洞集中在三类：统一身份认证绕过、SQL注入、以及文件上传未过滤。某师范大学的教务系统甚至存在一个经典漏洞——把URL里的学号参数从20230101改成20230102，就能直接看到别人的课表和成绩单。这种水平的安全防护，跟把钥匙插在宿舍门上一个道理。

原因不复杂。很多高校的信息系统是十年前外包给本地小公司做的，验收完就没人管了。后来要加功能，又找另一家公司打补丁。代码层层叠叠，像千层饼，谁都不敢动底层。加上每年招新、选课、评教那几天流量暴涨，管理员只求别崩，安全？往后放放。

提交一个漏洞到底要走几步

以某知名edu漏洞平台为例。你先注册账号，提交时填目标URL、漏洞类型、复现步骤、危害等级。别小看复现步骤，写“存在SQL注入”没人理你，得把payload、返回包、甚至数据库版本截图贴上去。平台审核员会先复现一遍，确认不是误报，再联系学校。学校那边通常有两种反应：一种是“收到，马上修”，另一种是“你们是不是想敲诈”。后者虽然少，但每年都能碰上几例。

有个挺有意思的细节。平台给每个漏洞标了“公开时间”。如果学校在规定期限内修了，漏洞详情就不对外公开；如果拖着不修，到期后漏洞细节会直接放出。这招比催命电话管用。某211高校就因为拖了45天没修一个任意文件读取漏洞，被公开后第二天就出了补丁。

白帽子图什么

钱？大部分edu漏洞平台不给现金奖励，最多给个积分或者电子证书。我认识一个常年在平台提交漏洞的哥们，他是某大学研二学生，纯粹因为自己选课时被系统卡过，后来开始研究教务系统。他跟我说，看到自己提交的漏洞被修复，那种感觉比打游戏上分爽。当然也有现实考虑——简历上写“提交过23个高校漏洞”，面试安全岗时确实加分。

不过得说清楚，未经授权测试高校系统是违法的。平台只接受“已授权”或者“公开测试范围”内的漏洞。什么叫公开测试范围？比如学校自己搞了众测，或者漏洞出现在公开的测试环境里。你要是直接拿工具扫生产环境，哪怕没恶意，也可能被请去喝茶。

平台自己也有麻烦

去年有个平台被曝出审核员私下把漏洞细节卖给第三方。虽然最后开除了事，但信任这东西裂了就是裂了。另一个问题是漏洞重复提交。同一个教务系统，十个学校用同一套代码，你提交了A校，别人提交B校，平台判重时经常扯皮。有白帽子一气之下把漏洞直接发到论坛上，结果学校报警，白帽子被约谈。两边都不好过。

说到底，edu漏洞提交平台是个补丁，不是解药。高校信息系统的安全欠账太多，靠几个白帽子半夜挖洞填不上。真正管用的，是学校把安全预算当回事，别等成绩被改了才想起来找防火墙。