上周三下午，校洞我路过学校信息中心，园网看见几个保安围着一台服务器转。站安后来才知道，全漏有人通过校园网漏洞，校洞把教务系统首页换成了猫和老鼠的园网动图。管理员花了四个小时才恢复——他们连漏洞在哪都没找到。站安

这不是全漏个例。我翻过学校安全社团的校洞漏洞报告，光去年一年，园网他们就发现了三十多个问题。站安最常见的全漏，是校洞SQL注入。图书馆的园网检索系统、选课平台的站安查询框，只要输入一串特殊字符，数据库就能被“钓”出来。有个学生试过，输入`' or 1=1 --`，直接看到了全校学生的姓名和学号。他没干坏事，但在报告里写了一句：“管理员密码是admin123，改改吧。”

弱口令简直是校园网的“标配”。我室友的校园卡绑定系统，密码是身份证后六位。他试了试自己学号，居然能登进别人的账号。更离谱的是，有些后台管理系统，账号统一是“admin”，密码是“123456”。问管理员为什么不改，他说：“改复杂了我自己记不住。”

文件上传漏洞也常见。很多社团网站、课程作业提交系统，只检查文件后缀名，不检查文件内容。有人把PHP木马伪装成jpg上传，结果直接拿到了服务器权限。我们学校有个摄影社的网站，就被这么搞过一次，整个相册被清空，只留下一句话：“你们的照片不错，但我更想要数据库。”

还有XSS攻击——跨站脚本。这个隐蔽得多。校园论坛、二手交易平台，只要在评论框里插入一段JavaScript代码，别人浏览时就会弹出钓鱼页面。我亲眼见过一个同学，在二手群里发了个链接，点进去是仿造的登录页面，一天之内骗走了十几个人的账号密码。那些密码，很多人用在了同一个邮箱上。

其实校园网站的安全问题，根源不在技术，在管理。服务器补丁半年不打，默认配置不改，开发时根本没人考虑安全测试。信息中心的老师大多忙于修电脑、装软件，哪有时间研究漏洞？更尴尬的是，很多外包公司做的系统，代码质量低得惊人——注释里还留着开发者的QQ号。

我见过一个漏洞，是校园卡充值系统的。它用HTTP明文传输，连HTTPS都没开。在同一个WiFi下，用抓包工具就能看到别人的卡号和余额。更别说那些老旧的图书馆管理系统，用的是2008年的框架，漏洞公开在网上，随便搜搜就有教程。

说句实在话，校园网站不是没有高手保护。安全社团的学生，比管理员更懂渗透测试。但他们提交漏洞报告后，往往石沉大海。有个学长说，他报告了一个可以修改成绩的漏洞，结果信息中心回复：“这个系统是招标买的，我们没权限改代码。”

骂归骂，但校园网也不是全无希望。至少学生们的安全意识在提高。现在选课系统有了验证码，图书馆查询加了参数过滤，虽然慢半拍，但总算在动。只是我担心，哪天又有人把教务系统首页换成表情包，管理员还得花一下午找原因。