紅軟基地 推薦
2013-12-11
打開網(wǎng)上文檔 便知學(xué)生秘密
近日有讀者向羊城晚報爆料，稱鹽步職業(yè)技術(shù)學(xué)校（下稱鹽步技校）學(xué)生信息遭到泄露，許多家長接到詐騙電話。
8日，記者登錄鹽步技校官方網(wǎng)站發(fā)現(xiàn)，除了官網(wǎng)外，該校還開發(fā)了獨立運行的教學(xué)管理系統(tǒng)，在其網(wǎng)址http://jdyd.nhedu.net后加上文檔的英文字母“files/”，頁面便成功跳轉(zhuǎn)至目錄列表。
在里邊，有3551份電子文件，均以“字母”加“數(shù)字”的方式進行命名。記者不需要輸入賬號跟密碼，便可任意下載。這些電子文件涉及學(xué)校教學(xué)的方方面面，包括老師公開課教案、學(xué)生申請搭餐人數(shù)統(tǒng)計表、實習(xí)老師值班安排表等等。
上述資料似乎無關(guān)痛癢，但記者很快發(fā)現(xiàn)，泄露文檔中有多份學(xué)生實習(xí)名單、助學(xué)金申請表、技能大賽報名表，包含了學(xué)生的真實姓名、身份證編號、照片、聯(lián)系方式等個人信息。記者甚至找到了三份“（2013年）11月19日走讀生吸食違禁品事件記錄”，這是三名未成年學(xué)生在廁所吸“K粉”的口述報告。
令人瞠目結(jié)舌的是，記者下載編號為“cjq250675”的Excle文件表后，發(fā)現(xiàn)這是鹽步職業(yè)技術(shù)學(xué)院全校學(xué)生的花名冊，學(xué)生身份證、姓名、家庭詳細住址、監(jiān)護人姓名及手機號碼等內(nèi)容歷歷在目，涉及該校從2010年秋季入學(xué)至今的2640名學(xué)生完整信息。
騙子竊取信息 家長差點被騙
記者根據(jù)花名冊的信息，按照“城市戶口”、“農(nóng)村戶口”“非佛山地區(qū)”等類別，分別撥打給5位家長，有兩位家長反映接到過關(guān)于小孩的詐騙電話。
在外地工作的家長梁女士告訴記者，不久前有位女騙子來電自稱是鹽步技校的老師，說她兒子出現(xiàn)了嚴重車禍，被送往醫(yī)院搶救，學(xué)校墊付醫(yī)療費后還不夠，讓她馬上匯錢到指定賬號去。
“那騙子知道我們很多信息，我不得不就信了。”梁女士回憶說，她當(dāng)時心頭一驚，趕緊打兒子手機，卻怎么也打不通，心急如焚。后來輾轉(zhuǎn)聯(lián)系上了，才發(fā)現(xiàn)不過是一場騙局，“幸虧沒有讓騙子得逞”。
一位不愿意透露姓名的家長告訴記者，許多家長都接到詐騙電話，有的還不止接到一兩個，“學(xué)生個人隱私被泄露至少有一年時間了，學(xué)校并沒有公開對全體家長進行答復(fù)處理。”
半年前被“黑” 漏洞如今仍在？
在網(wǎng)址上添加文檔的英文名“files”，便能直接訪問后臺文件，這到底是巧合還是普遍現(xiàn)象？
據(jù)不完全統(tǒng)計，佛山地區(qū)至少還有兩所技校開發(fā)了獨立的教學(xué)管理系統(tǒng)網(wǎng)站，分別是順德職業(yè)技術(shù)學(xué)院和廣東紡織職業(yè)技術(shù)學(xué)院。當(dāng)記者嘗試用上述手法進行訪問時，瀏覽器提示“指向錯誤”，并沒有出現(xiàn)可供下載的文件。
有業(yè)內(nèi)人士告訴記者，之所以可以直接訪問后臺文件，是因為設(shè)計網(wǎng)頁配置服務(wù)器信息時，允許用戶進行“目錄瀏覽”，沒有設(shè)置權(quán)限攔截，“這是非常低級的漏洞”。
昨日中午，鹽步技校辦公室楊主任向記者坦言，今年6月份確實有家長投訴學(xué)生個人信息泄露，但她對“低級漏洞”給予了否定，“這是被黑客入侵的結(jié)果”。
據(jù)楊主任介紹，鹽步教學(xué)管理系統(tǒng)是內(nèi)部網(wǎng)絡(luò)，并不對外公開。接到反映后，學(xué)校進行了調(diào)查，發(fā)現(xiàn)是校內(nèi)某電腦遭受了黑客入侵，導(dǎo)致后臺信息泄露。學(xué)校已將事件上報給有關(guān)部門，并處理了中毒電腦。
那為何“漏洞”時隔半年重新出現(xiàn)呢？楊主任坦言不清楚此事，但她承諾“學(xué)校會進一步關(guān)注，并處理好這件事情”。
截至昨日下午5時許，記者已無法從外部登陸鹽步教學(xué)管理系統(tǒng)網(wǎng)站。