2015年，黑客内蒙古一名高职院校教务处的篡改成绩临时工，用同事的考生账号登录学校教务系统，改了17名学生的黑客成绩。他不是篡改成绩黑客，连代码都不会写。考生系统密码是黑客“123456”，登录后没有任何操作日志记录。篡改成绩这事后来被查出来，考生是黑客因为一名学生酒后炫耀，说自己的篡改成绩挂科被“抹掉了”。

真正的考生黑客入侵成绩系统，路径比普通人想的黑客要朴素得多。多数高校的篡改成绩教务系统由外包公司开发，版本老旧，考生SQL注入漏洞一抓一大把。2019年，某省考试院的技术人员在一次内部演练中，用公开的漏洞扫描工具，不到二十分钟就拿到了数据库的读写权限。他没改数据，但把这事写进了报告。报告上交后，系统打了补丁。三个月后，同样的漏洞又出现了——因为外包公司换了，新公司用了旧代码。

篡改成绩的动机通常分两类。一类是学生自己动手，或者花钱找人动手。另一类是内部人员，比如教务老师、系统管理员。前者技术粗糙，后者权限直接。2021年，湖南某高校一名教务科副科长，利用管理账号，帮亲戚的孩子改了四门课的成绩。他做得不算隐蔽，操作时间选在凌晨，但登录IP是自家宽带。审计人员比对登录日志和成绩修改记录，两天就锁定了人。他后来交代，以为“系统不会留痕迹”。

技术层面，篡改成绩的核心难点不在“改”，在“不被发现”。成绩数据通常存在两张表里：一张是原始成绩表，一张是最终成绩表。直接改最终表，原始表还在。有些系统会定期做数据快照，改完第二天快照一比对，异常就出来了。所以真正懂行的人，会同时改掉原始表、最终表、快照文件，甚至清理数据库的事务日志。能做到这一步的，要么是系统开发者本人，要么是长期潜伏、摸清了整套备份机制的人。

2018年，美国佛罗里达州一名高中生入侵了学校的学生信息系统，把自家孩子的成绩从C改成了A。他用的方法很简单：学校系统没有绑定IP，他在公共图书馆的电脑上，用孩子提供的教师账号登录，直接修改。事情败露是因为孩子的班主任在家长会上随口提了一句“这学期进步很大”。家长会后，另一个家长打电话给学校，说自家孩子成绩没变但排名掉了。学校一查，发现成绩表被改过。FBI后来介入，因为学校系统属于“受保护的计算机”，篡改成绩触犯了联邦法律。

国内高校这几年在补漏洞。双因素认证、操作日志上链、成绩修改需要三级审批，这些措施在部分学校已经落地。但问题在于，很多学校的信息化预算有限，外包公司换得勤，每换一次，旧系统的维护就断档。一个教务系统的生命周期通常是五到八年，而安全补丁的更新频率往往跟不上漏洞被发现的频率。

更麻烦的是内部人。权限管理再严，也挡不住有权限的人主动作恶。审计日志能记录“谁改了”，但改的人如果就是审计日志的管理员，这事就变成了自己监督自己。某高校信息中心主任私下说过一句话：“我们防外面的黑客，防得挺认真。防自己人，基本靠自觉。”

成绩篡改的后果，多数时候不是技术问题，是人的问题。系统再坚固，密码写在便利贴上贴在显示器边框上，一切白搭。2017年，某大学教务处一台电脑中了勒索病毒，所有成绩文件被加密。病毒来源是教务老师点了一封“补考名单”的钓鱼邮件。事后调查发现，这台电脑的登录密码是“admin888”，用了六年没换过。

(责任编辑：百科)