EDU站点渗透复盘：越权获取约1.5万学生信息

测试者在某高校站点渗透测试中，通过fofa、hunter信息收集发现路由校验失败的空白页，借助AI分析出隐藏token参数，并用小黄鸟与Burp联动抓取APP流量获得COOKIE，最终越权获取全校约1w5同学的姓名、手机号与人脸头像。 测试中还发现存储桶可通过已知路径直接覆盖，以及短信接口存在四个可排列组合共16种、可绕过单个邮箱10次限制的绕过方式。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。