教育漏洞报告平台

去年秋天，教育一位家长在家长群里发了一张截图。漏洞某在线教育平台的报告物理课程页面，点开“试看”按钮后，平台浏览器控制台里赫然躺着完整的教育课程视频地址。把那段URL复制出来，漏洞直接就能下载全部付费内容。报告这位家长没声张，平台先报了警。教育

这事后来没上新闻。漏洞平台方私下联系了这位家长，报告塞了一笔“感谢费”，平台条件是教育把截图删干净。漏洞呢？漏洞据说是改了——把视频地址从明文改成了一次性token。但那位家长跟我说，报告他试了试，换个姿势还是能扒下来。只是他懒得再折腾了。

教育类平台的漏洞，跟电商、社交平台不太一样。电商漏洞丢了数据，用户骂两句，换个密码就完了。教育平台漏出去的东西，往往是孩子的姓名、身份证号、家庭住址、家长手机号，甚至包括人脸识别数据。去年某K12网校被拖库，三万多条学生信息在暗网打包卖，标价0.3个比特币。买家拿来干什么？精准诈骗。冒充班主任收资料费，一条短信发过去，十个家长里总有两三个上当。

我做安全咨询这几年，接过七八个教育行业的单子。有个共性问题：预算都花在买设备上了，防火墙、WAF、堡垒机堆了一堆，但代码层面的漏洞没人管。开发团队赶版本，一个迭代两周，安全测试？不存在的。上线前扫一遍？扫出来的报告直接扔进Jira，优先级标个“低”，然后就没有然后了。

有个具体例子。某教育App的“忘记密码”功能，验证码是四位数字，而且不限制尝试次数。我写了个脚本，从0000跑到9999，平均四十分钟就能重置任意用户的密码。更离谱的是，这个接口连频率限制都没有。我把报告提交过去，对方技术负责人回了一句：“我们这是内部测试环境，没关系的。”可那个域名明明解析到了公网IP，而且App Store上的正式版也在用同一个接口。

漏洞报告平台在这中间扮演什么角色？不是救世主，就是个传话的。厂商愿不愿意修，什么时候修，平台说了不算。但至少，它让漏洞从“没人知道”变成“有人盯着”。CNVD（国家信息安全漏洞共享平台）每年接收教育行业漏洞报告上千条，实际修复率我估计不到四成。剩下的要么是厂商装死，要么是修复成本太高，干脆把业务下线了事。

我见过最离谱的一个案例。某高校的教务系统，SQL注入漏洞，能直接拖出全校学生的成绩和学籍信息。报告提交给学校信息中心，对方回复：“我们系统是外包给XX公司做的，你们直接联系他们吧。”联系了外包公司，对方说：“合同里没写安全维护，得加钱。”加钱？加多少？没下文了。那个漏洞至今还在，只是我把测试用的账号注销了。

说回漏洞报告平台本身。国内做这个的，除了CNVD，还有补天、漏洞盒子这些民间平台。民间平台靠什么活？厂商的赏金。但教育行业普遍穷，给不出高赏金。一个高危漏洞，电商平台可能给五千到一万，教育平台能给五百就算大方了。白帽子也是人，要吃饭的。同样的时间，挖电商漏洞能赚一个月房租，挖教育漏洞只能赚一顿火锅。长期来看，教育行业的漏洞自然就积压得更多。

那怎么办？靠情怀肯定不行。我认识几个专挖教育漏洞的白帽子，纯粹是因为自己孩子也在用这些平台，挖出来顺手报一下。但这不是可持续的模式。真正要解决，得让教育平台把安全成本算进预算里，而不是等出了事再找公关公司删帖。

写这篇文章不是要吓唬谁。只是觉得，当家长把孩子的身份证号填进一个连HTTPS都没配好的表单时，这事本身就挺荒诞的。漏洞报告平台能做的，就是让这种荒诞少一点。哪怕只少一点。