邮箱网 0条评论 6264次浏览 2012年12月28日 星期五 11:20
标准哥其人
“标准哥”是南京大学软件学院2010级男生刘靖康,这个外号源于今年7月刘靖康的一次“突发奇想”,他用7000张同学的照片做出南京大学各院系“标准脸”,网友送外号“标准哥”。
曾报道过的南大“标准哥”刘靖康又成为焦点,这位曾通过电话按键音成功破解360总裁周鸿祎手机号码的“软件小子”,竟然又利用漏洞入侵学校教务员邮箱搜到期末考试试卷,并将整个入侵过程公布在人人网上。
不过这次,他没这么幸运,学校很快知道了此事,还喊来了刘爸爸,连刘靖康自己也在人人网上说:“可能要被开除了。”南大“技术帝”真的要被开除了吗?扬子晚报记者昨日展开了追访。
A “标准哥”又成焦点
发帖演示如何搜出期末试卷
26日晚,刘靖康在人人网上发布了一条爆炸消息,如何通过入侵老师邮箱拿到期末考卷和修改成绩:“先声明,这个漏洞是无意中发现的,我只是验证了它可行了,但是最后是没有干坏事的,否则被发现会被退学的……另外就是目测很多高校的邮箱系统都有这样的漏洞,欢迎其他学校的同学去实践和验证……”
紧接着,这位“技术帝”一步步详细解析了入侵软件学院教务员信箱的整个过程。“一般来说,学院是相对独立的组织,我们的试卷都是由任课老师命题然后发给学院的教务员来打印,最终送到我们手上。怎么发呢,我觉得U盘QQ都不太靠谱也不好管理,猜测是邮箱发的,所以我们的目标就是要登录到教务员的邮箱那里,拿到试题。”“登录的话一般情况下需要密码……我们要利用的是cookie(cookie指某些网站为了辨别用户身份、进行session跟踪而储存在用户本地终端上的数据——百度百科的解释),因为服务器除了密码以外也认这个东西,而且这个东西我们可以在浏览器上伪造。”
怎么拿到cookie?刘靖康称“我们要再一次改思路:通过js让教务员把自己的cookie发回给我们。”25号晚9点多,他给教务员发了一封邮件,然后在26日收到回信后,迅速给cookie加上些东西变成了代码,再打开院邮,在chrome的console里输入登进教务员的邮箱了。“剩下的事情好办了,在邮件搜索‘卷’,就全出来了。”为了证明自己的确做到了,刘靖康还贴出了教务员邮箱有关试卷的邮件目录。“太多了,有13页,但是我们年级是3学期,所以下学期才考试哈。”刘靖康还保证,“我真没有打开过里面任何一封邮件和下载过试卷哦!”
成功“搜”出试卷之后,刘靖康还发表了一段关于“如何修改成绩”的猜想:“不出所料,成绩也是任课老师整理后在教务员那里汇总,然后再到学校教务处的,例如下面这种;方法很简单,将标题包含‘成绩’的邮件设置为spam,教务院就收不到了,然后你去spam那里去找回来,下载表格,修改成绩,以同样方法劫持任课老师的邮箱,重新发一封给教务员(大概可行吧,没试过)。”
这篇日志在人人网发表后,随即被疯狂转载,引发网友大讨论。在一堆“跪拜”之后,有人表示“思路很新颖,就是不够详细啊。关键是收到老师的邮件后怎么改cookie。”还有人“求研究生入学考试专业课试题!”
“标准哥”突然道歉删帖,说学校要开除他
不过到了27日上午8:35分,刘靖康删除了自己的这篇日志。“今天早上8点接到辅导员电话,该日志被勒令删除了,抱歉”。他写道:“本人只是验证,自己并没有做坏事,也没有鼓励大家做坏事。如果真的想利用这种漏洞做坏事,我自己就一个人偷着乐了,何必发出来分享呢。反过来讲,这种漏洞其实并不那么难发现,我觉得学校可能对自己的系统太自信了,或者知道了这种漏洞也懒得去改,无论是哪一种情况,他们都不能保证说之前一定没有学生偷偷这么做过。”他表示,这个日志的传播速度也在本人预期范围内。
随后刘靖康又在人人网上称,可能要被退学,爸爸已经被学校叫来谈话。“技术帝”被开除了,这一爆炸性消息再次激起网友的热议,一名自称刘靖康学弟的南大学生还给本报微博发来私信,“学长昨晚发现学校邮箱的漏洞破解了教务员的密码,学校打电话给他爸爸要开除他……”
不过,很快刘靖康又做出了解释:“非常抱歉,刚刚关于退学的状态,是我父亲把老师的意思理解并传达错了。”昨天下午,刘靖康再次正式道歉:“在此,为我的冲动、浮躁和做事方式,向担心我的人、受到不好影响的人,以及因此事受损的软件学院,表达我的歉意,对不起!而事情的结果会按照学校正常的处理流程得出。另外我还是希望此事对院邮,其他学校的系统和受日志启发去思考和验证的同学会有积极的结果。”
当事人变“忐忑”,学校暂无处理决定
昨天下午,扬子晚报记者再次拨通了刘靖康电话,之前因为他的“创新”,记者已经多次电话和他沟通,不过这次这名傲视群雄的“技术帝”一反常态,忐忑地表示不希望接受采访。
记者随后联系了南京大学软件学院相关负责人,当记者询问是否会对刘靖康做出退学处理,她表示暂没有处理决定,而且处理此事将按照学校正常流程走,并不是软件学院的单方面决定。
B 网友热议
是学校漏洞,还是“标准哥”玩过头
“如果没有充分考量后果,技术开发只能带来灾难”
从盗用7000张照片P成南大各院系“标准脸”,到2秒内通过电话按键音破解360总裁周鸿祎手机号码,南大软件学院刘靖康名噪一时,他的才能还博得李开复的青睐,被邀请加入“创新工场”。不过此次入侵邮箱看考卷事件在网上争议颇多。甚至引发了一番关于“技术及人文、责任”的讨论。
有网友认为,刘靖康发现漏洞不仅没有联系学校有关人员,反而在人人网上广而告之,“其实是无知带来的蝴蝶效应式的连锁反应。”“在技术开发之前如果没有对可能后果的足够充分,足够理性的考量,技术就只能带来灾难,或者更糟糕的,带来无法预知的甚至人类无法理解的问题。”“这就像故事皇帝的新装,明明是学校的邮件系统有漏洞,被学生发现破解后,应该是马上想办法把这个漏洞补上,而不是先要惩罚学生。”不少网友为他打抱不平,“呃……刘靖康同学只是发现而已,又没黑它,不能拿学生开刀吧……”
也有网友质疑其学校的学习氛围,“软件专业的学生,不是应该给他自由发挥的空间吗,我认为这位热爱互联网,执着于自己的专业,并用所学知识发现问题,这本身是值得鼓励的,但是发布到网上,教大家如何去破解,有点过分了。”
C 记者追访
多数高校真的用邮箱传试卷
是不是真的如刘靖康所说,学校考卷通过邮箱传送呢?记者昨日调查中证实了刘靖康的说法,在南京审计学院、南京财经大学等大部分高校,出卷老师从邮箱给教务老师发送试卷。一所高校相关人士告诉记者,在本校,历年的期中、期末的试卷都是由各院系教研室的专门老师负责出题的,确定题目审核无误之后,就直接发至教务处存档。然后由学校教务处联系印刷厂组织统一印刷。比如语文、英语、思修等通识课程。“学校为试卷传送设置了专门的邮箱,只有专门负责此事的老师知道密码。”
两种情况下邮箱密码可破解
什么情况下邮箱密码可被破解?记者昨天请教一名计算机专业人士。“通过发送邮件,回复邮件,套取cookie,从理论上说是无法实现的。”这名专业人士认为,刘靖康可能隐瞒了一些操作步骤。他分析,两种情况下,邮箱密码可以被破解的。一种是操作者电脑系统有漏洞,学生和老师都使用校园局域网,学生找到漏洞后,可以远程破解老师电脑windows密码,如果这名老师邮箱是“直接登录状态”,就可直接登录。如果设有密码,可以通过植入木马控制邮箱密码,实现登录。另一种情况是邮件系统漏洞,也就是服务器漏洞,也可以通过一些手段把邮箱中的数据提取出来。
-新闻链接
他加分进南大 曾三门课交“白卷”
让打火机的光在墙上画画、简易3D转换技术,摄像头识别人体动作……南京大学软件学院2010级男生刘靖康稀奇古怪的创意有不少,他本人也有些特立独行。
“电脑”加20分进南大
刘靖康的父亲是广东一家毛绒玩具厂负责人,母亲曾在银行工作。刘靖康从小学五六年级开始就自己琢磨着制作网页、网站,他的发明在常人眼里“稀奇古怪”。高中时,他参加了当时的全国中小学生电脑制作大赛,根据谷歌地图可以帮助用户看到世界各地街景的功能,他设计了一个“外挂”:用摄像头识别用户腿部前进、后退、转弯的动作,根据这些动作在电脑中显示相应“走”到的地方的街景。刘靖康因为这个项目获奖,在高考时获得了20分的加分,顺利进入南大学习。
期末三门交“白卷”
“我这个学期的期末考试有三门课交了白卷,准备开学来了再补考吧。”在接受采访时,刘靖康语出惊人,自己大部分时间都花在了感兴趣的“新玩意”设计上,那才是“主业”。上课的时间,刘靖康就琢磨自己的发明创造:用光感应的原理设计一面可以用打火机、手电筒的光“画画”的墙、“山寨版”3D技术,人人网推出“暗恋”功能时,他还自己设计了一个页面。
他还写了一个可供苹果、安卓校园手机用户进行二手物品交易的软件。随后,他又花了一个月的时间完成了在视频中插入植入式广告的技术。在父亲的鼓励下,小刘期待将自己的作品投入到商业应用中,用技术进行自主创业,吸引了多家公司与他洽谈合作业务。(记者蔡蕴琦张琳)
(文章来源:光明网)
2012年7月11日本报报道“标准哥”的版面。
2012年9月1日本报再次报道这位“软件小子”。(扬子晚报)