WooYun.org

华南农业大学屡屡设计缺陷可致几万学生信息泄露。
这次的所谓设计缺陷就是说账号的默认密码设计不当。加上学生本身的安全意识不高，很大一部分学生往往不会去修改密码，这样就导致了学生信息面临泄露的风险。
如果默认密码稍微设计得严谨一些，比如采用学生的身份证后几位，学生的出生年月等作为默认密码的话是基本可以杜绝了这种问题的产生的。
这次点出两次设计缺陷，点到为止。希望可以引起相关学校的重视。
1.毕业生生源信息采集处（http://jyzx.scau.edu.cn:81/）
http://jyzx.scau.edu.cn:81/cnews/2014/07/03/160146NxVw.html
看到这个通知便可以知道账号为学生学号，默认密码为学生学号。学生学号组成结构不难得到，百度虽不是万能，但也是很能了。随便贴出两个百度找到的信息，当然还有很多很多...

了解了学号构成之后，下面就好办了。登录处没有设置验证码。（呵呵，忘记密码那里还点不了，根本就不是链接，单纯文字来的。无语了）我构造一个小小的学号字典，然后爆破一下。看看有多少学生的密码是没有改的。真的很多啊，这里状态302才是正确的。

进去一个看一下。各种信息都有。

2.图书馆（http://202.116.174.108:8080/reader/login.php）
初始密码001，也是没有验证码的。

再Intruder一下。也发现一大堆没改密码的。