校园网站安全

去年秋天，校园某高校教务系统被拖库，网站两万多名学生的安全身份证号、家庭住址和成绩单在暗网标价出售。校园起因只是网站一个没打补丁的Struts2漏洞，运维老师休假前忘了关测试接口。安全

这事听起来离你很远？校园校园网站的安全水位，往往比你想的网站浅得多。很多学校的安全信息中心就两三个人，既要管选课系统，校园又要维护官网、网站论坛、安全失物招领平台。校园预算批下来先买服务器，网站安全设备？安全排在下个财年。

弱口令是万能钥匙

我见过一个二本院校的后台，管理员账号是admin，密码是admin123。不是段子。登录页面甚至没验证码，用Burp Suite跑字典，三分钟进后台。里面能直接导出全校教职工的工资条。问负责人为什么这么设，他说“方便记，反正外网访问不到”。可那台服务器同时挂着对外服务的网站，端口扫一下，8080直接暴露在公网。

学生这边也好不到哪去。很多人所有平台共用同一个密码，校园网账号泄露，攻击者拿去撞库，邮箱、社交账号、甚至绑定的支付信息全跟着遭殃。学校强制改密码？学生就在末尾加个1，下个月再加个2。

老旧系统是重灾区

不少高校的选课系统还是十年前的架构，PHP 5.3配MySQL 5.1，官方早就不维护了。为什么换不掉？因为教务处的业务流程全嵌在里面，改一行代码要协调五个部门。于是漏洞就晾着。SQL注入点明晃晃挂在URL参数里，加个单引号就能报错回显数据库版本。有人用sqlmap跑一遍，直接拿到shell。

更麻烦的是第三方插件。很多学校图省事，官网用现成的CMS，再装一堆来源不明的模板和扩展。去年某校官网被挂马，就是因为在某论坛下载了一个“免费招生页面模板”，里面藏了webshell。攻击者没干别的，就拿服务器挖了半个月门罗币。

内网不等于安全区

“我们内网隔离了，外网进不来。”这话我听过太多次。可学生连上校园WiFi，就能访问内网资源。一个宿舍的路由器被入侵，攻击者就能横向移动到教务数据库。去年某校的案例更离谱：保洁阿姨在机房捡到一张写着密码的便利贴，随手贴在了显示器边框上。访客登记时拍张照，内网就破了。

还有钓鱼邮件。冒充“图书馆逾期通知”或“奖学金申请”，附件是个带宏的Word文档。点开之后，木马静默安装，键盘记录、屏幕截图全安排上。老师中招的概率不比学生低——他们更习惯直接点开附件，因为“工作邮件都这样”。

能做什么

先别急着买防火墙。把默认密码全改掉，数据库禁止外网访问，后台加个双因素认证。这三件事做完，能挡住八成以上的自动化攻击。然后定期扫漏洞，用OpenVAS或Nessus都行，别等出事再补。学生这边，搞一次钓鱼演练比发十份安全通知管用——真有人上当了，再教他怎么识别。

校园网站的安全，说到底不是技术问题，是优先级问题。钱花在看得见的地方，比如新机房、大屏幕、智慧教室。安全这种“不出事就没人提”的投入，永远排最后。可一旦出事，丢的不仅是数据，还有学生对学校的信任。那个被拖库的学校，后来每个学生收到一封道歉邮件，附件是PDF格式的《信息安全承诺书》。讽刺的是，那封邮件本身就被钓鱼攻击者仿冒过一轮。

很赞哦!（19）