山东省教育云服务平台登录入口网址( 二 )

四、信息泄露漏洞
共发现23次。主要是网站发布信息时主动泄露个人身份证号等敏感信息，也包括服务器中源代码等信息可以被直接下载利用导致服务器配置、数据库连接等敏感信息泄露。涉及单位：聊城大学、山东师范大学、山东旅游职业学院、山东商业职业技术学院、齐鲁师范学院、鲁东大学、山东交通学院、山东财经大学燕山学院、山东农业大学、齐鲁医药学院、青岛求实职业技术学院、济南工程职业技术学院、济南护理职业学院、山东理工大学、济宁医学院、泰安市教育局、淄博市教育局、日照市教育局、菏泽市教育局。
五、逻辑漏洞
共发现7次。逻辑漏洞是指由于程序逻辑不严或逻辑太复杂，导致一些逻辑分支不能够正常处理或处理错误，一般出现在任意密码修改（没有旧密码验证）、越权访问、密码找回、交易支付金额。涉及单位：聊城大学、山东职业学院、济南大学、枣庄市教育局、济宁市教育局、日照市教育局。
六、任意文件上传漏洞
共发现6次。任意文件上传指攻击者通过上传可执行脚本功能的文件从而获取服务器端可执行命令的权限。恶意攻击者可以利用此漏洞，可获得网站Webshell权限，可任意操作网站及数据信息。涉及单位：聊城大学、山东特殊教育职业学院、泰安市教育局。
七、暗链漏洞
共发现6次。暗链是黑客通过网站漏洞篡改页面源代码，以隐蔽的方式植入不易被觉察的代码链接到其他网站，达到对其他网站的宣传，因此被植入暗链一般说明网站已被攻陷。暗链往往被链接到黄赌毒、诈骗甚至反动等非法网站，对政府和企事业单位的影响较大。涉及单位：山东师范大学、山东科技大学、枣庄学院、烟台大学、淄博市教育局、德州市教体局。
八、远程命令执行漏洞
共发现6次。该漏洞是由于上传功能的异常处理函数没有正确处理用户输入的错误信息，导致远程攻击者可通过发送恶意构造的HTTP数据包，利用该漏洞在受影响服务器上执行系统命令，最终可完全控制该服务器，造成拒绝服务、数据泄露、网站遭篡改等后果。涉及单位：山东科技大学、山东商业职业技术学院、山东商务职业学院、山东凯文科技职业学院。
九、暴力破解漏洞
共发现3次。暴力破解指攻击者枚举其准备的用户名和密码字典同时进行登录，通过响应结果从而得到正确用户名和密码的过程。恶意攻击者可以利用此漏洞，可对网站进行暴力破解攻击。涉及单位：聊城大学、青岛市教育局。
十、跨站请求伪造漏洞
共发现2次。CSRF(跨站请求伪造)漏洞指攻击者引诱用户访问页面，攻击页面使用该用户身份在第三方网站自动进行操作。攻击者可利用该漏洞诱骗用户在不知情情况下执行未授权操作。涉及单位：青岛市教育局。