文章总结： 文章分享作者在eduSRC众测第13期中提交的三个漏洞：1.社区卫生服务中心小程序任意用户登录漏洞，通过拦截并修改响应包中的手机号实现任意账户登录，无需解密加密数据；2.大病互助小程序存在逻辑缺陷，利用公开的教职工号和姓名Excel文件可绑定并修改密码，无需其他验证；3.类似漏洞细节未详述。文章强调技术讨论需合法授权并仅用于网络安全目的，附带推广与资源分享提示。 综合评分： 82 文章分类： SRC活动,漏洞分析,渗透测试,WEB安全

Edusrc | 记一次src众测漏洞挖掘

zkaq – 满心欢喜 zkaq – 满心欢喜

掌控安全EDU

2026年6月25日 12:04 江西

在小说阅读器读本章

去阅读

扫码领资料

获网安教程

本文由掌控安全学院 – 满心欢喜 投稿

来Track安全社区投稿~

千元稿费！还有保底奖励~（   https://bbs.zkaq.cn   ）****

edusrc众测第13期 第一次参加edu的众测，也是成功提交了三个漏洞 1、社区卫生服务中心小程序任意用户登录 点击手机注册并拦截数据包 数据包长这样 有iv和encrypetedata可惜没有sessionkey 相信大家知道微信小程序三元素解密 但是这次教大家一个不用解密直接修改数据的方法 微信小程序三元素解密是通过key和iv将密文解密出来，再修改明文再加密，再替换掉原密文 我们这里直接拦截数据包的响应包 上面两个图可以发现，这里直接拦截数据包和解密出来的数据格式是一样的 效果也是一样的 将拦截的响应包中的phoneNumber和purePhoneNumber修改为任意手机号 这里示例为14332231433 放包 以14332231433账户登录成功 第二个洞跟第一个差不多这里就不写了 2、大病互助小程序存在逻辑缺陷 点击登录注册 发现只需要教职工号和姓名即可绑定以及修改密码 site:xxx.edu.cn “工号” filetype:xls google语法收集到了一个包含工号和姓名的文件 登录成功 该漏洞危害在于只需要工号和姓名即可修改账号密码，不需要其它验证

申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，

所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.

没看够~？欢迎关注！

分享本文到朋友圈，可以凭截图找老师领取

上千教程+工具+交流群+靶场账号哦

分享后扫码加我！

回顾往期内容

网络安全人员必考的几本证书！

文库｜内网神器cs4.0使用说明书

重生HW之感谢客服小姐姐带我进入内网遨游

手把手教你CNVD漏洞挖掘 + 资产收集

【精选】SRC快速入门+上分小秘籍+实战指南

代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！

点赞+在看支持一下吧~感谢看官老爷~

你的点赞是我更新的动力

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：掌控安全EDU zkaq – 满心欢喜 zkaq – 满心欢喜《Edusrc | 记一次src众测漏洞挖掘》