去年秋天，教育某高校教务系统被曝出一个SQL注入点，教育提交参数里带个单引号就能把全校学生的教育学号和身份证号拉出来。漏洞提交到教育SRC平台后，教育两天内修复，教育积分给了800。教育这事在圈子里没掀起什么波澜，教育但我觉得挺典型——教育SRC的教育漏洞，大多数就是教育这个量级：不复杂，但危害实在。教育

教育SRC跟企业SRC不一样。教育企业SRC背后是教育商业公司，漏洞影响的教育是钱和用户数据；教育SRC背后是学校，影响的教育是学生成绩、身份信息、教育甚至录取资格。很多人觉得学校系统没什么可黑的，错了。一个教务系统里躺着几万人的身份证号、家庭住址、家长联系方式，这些东西在黑市上比一般的用户数据值钱得多。

我翻过教育SRC平台上公开的漏洞报告，出现频率最高的三类：弱口令、SQL注入、越权访问。弱口令基本是admin/123456这种，有些是学校自己开发的系统，开发老师图省事，后台密码设成学校缩写加年份。SQL注入集中在老旧的查询页面，比如成绩查询、课表导出这些功能，参数直接拼进SQL语句。越权访问更普遍——改一下URL里的用户ID，就能看到别人的成绩单或者选课记录。

有个案例我印象很深。某职业技术学院的水卡充值系统，登录后抓包把金额从10块改成1000块，余额直接到账。提交漏洞的时候，学校那边回复说“系统是外包公司做的，已经联系整改”。这种外包系统在教育行业特别多，外包公司做完就走，学校没有安全维护能力，漏洞能躺好几年。

教育SRC的漏洞挖掘有个特点：门槛低，但需要耐心。不像挖大厂漏洞要绕WAF、分析JS混淆，学校系统往往裸奔。你拿个dirsearch扫一下目录，可能就发现备份文件或者phpinfo页面。但教育SRC的审核周期长，有些学校一个月才确认漏洞，积分给得也抠，一个中危漏洞可能就200积分。所以真正的高手不太爱挖教育SRC，性价比不高。

不过从另一个角度看，教育SRC的意义不在积分。我认识一个搞安全的朋友，他专门挖教育SRC，挖了两年，攒了一堆证书。他说每次看到漏洞报告里写着“已修复”，就觉得比拿多少积分都值。这话听着有点矫情，但确实是实话。学生数据泄露不是小事，一个身份证号被冒用，可能影响的是一个人好几年的生活。

现在有些学校开始重视了。我注意到几个985高校自己建了安全响应中心，虽然还是挂在教育SRC下面，但审核速度快了很多，有的甚至会给现金奖励。这是个好趋势。但更多的学校，尤其是高职和中专，系统还是老样子。你提交漏洞，他们可能连怎么修都不知道，最后就是把功能下线了事。

说到底，教育SRC的漏洞不是技术问题，是管理问题。学校不缺钱买设备，缺的是安全意识。一个教务系统上线前做一次渗透测试，能挡掉80%的常见漏洞。但很多学校连这一步都省了，等出事再说。我写这些不是要指责谁，只是觉得，如果负责系统建设的老师能看到，下次开发的时候至少把参数化查询用上，把默认密码改掉。这比任何安全培训都管用。

(责任编辑：综合)