某高校教务系统被学生用弱口令直接登进去，教育改了成绩，漏洞还顺手把自己旷课记录删了。平台这事儿没上热搜，教育因为学校压下来了。漏洞但漏洞报告在圈子里流传——用的平台还是三年前就公开的CVE-2019-0708。

这就是教育教育漏洞平台最魔幻的地方：不是没有漏洞，是漏洞漏洞太老了，老到没人愿意修。平台

我认识一个白帽子，教育专门盯着高校系统挖洞。漏洞他跟我说过一句糙话：“教育网就是平台漏洞的养老院。”别的教育行业漏洞活不过一周，教育系统里的漏洞漏洞能活十年。他曾经在某个985的平台选课系统里发现SQL注入，点进去一看，后台还是2008年的框架，连编码格式都没换过。他提交了报告，学校回复“已收到”，然后半年后漏洞还在。

不是学校不想修，是真没钱修。一个普通二本的信息中心，预算可能就够维护服务器不宕机。安全工程师？不存在的。外包公司做完项目就跑，连个运维文档都没留全。你让教务处老师去理解什么叫做“参数化查询”，还不如让他们去改一百份试卷。

可漏洞平台本身也在进化。以前都是黑产在利用漏洞，现在有了一批“教育漏洞猎人”。他们不搞破坏，就专门找漏洞，然后提交给平台，赚点积分或者几百块奖励。有个平台叫“教育行业漏洞报告平台”，收录了上千个高校漏洞，从命令执行到越权访问，什么奇葩都有。

我翻过那些公开的漏洞描述，最离谱的是一个“校园卡充值系统逻辑漏洞”。操作者把充值金额改成负数，系统反而给校园卡倒扣钱，然后他把余额提现了。这种漏洞不涉及高深技术，纯粹是开发的时候没做负数校验。但就这么个低级错误，居然在一所211高校运行了四年。

更讽刺的是，很多漏洞的发现过程纯属偶然。有学生为了查期末成绩，用浏览器按F12改了响应包，结果直接看到所有学生的成绩单。他没恶意传播，但把截图发到了漏洞平台。学校知道后，第一反应不是修复系统，而是发通知“禁止学生使用非官方渠道查询成绩”。你看，问题出在系统，解决方式却是限制用户。

教育漏洞平台的真正价值，不在于它收录了多少漏洞，而在于它把这些漏洞暴露在阳光下。有些高校开始主动找平台做渗透测试，因为教育部有考核指标——网络安全责任制落实得怎么样，直接跟经费挂钩。于是漏洞平台变成了学校的“安全体检中心”，虽然体检完还是拖着不治，但至少知道了自己哪里有毛病。

我见过一个最务实的案例。某职业技术学院的信息中心主任，自己就是学网络出身。他每年花两万块请第三方团队做一次漏洞扫描，扫出来的高危漏洞，他亲自盯着外包公司修。别人问他为啥这么较真，他说：“我们学校的学生以后是要去工地干活的，要是他们连自己学校的系统都防不住黑客，出去怎么防工地上的骗子？”

这话糙，但理不糙。教育漏洞平台不该只是漏洞的陈列馆，它该是一面镜子。照出的是高校信息化建设里那些“重建设、轻安全”的老毛病。修漏洞不是技术活，是态度活。态度端正了，哪怕用最笨的办法，一个一个补丁打过去，系统也能结实起来。态度不端正，就算漏洞平台天天报警，该裸奔还是裸奔。

(责任编辑：休闲)