自主调查一次

现在，请你自己完整做一次调查。我们将沿用前面的方法，对阳明大学教务处进行一次独立漏洞排查。

线索显示，教务处还留存着一份尚未对外公示的补考名单。你的任务是：在实验环境中，以匿名外部访客身份验证是否存在未经授权的直接读取，并在名单中找到通关凭据 COIN。

调查思路与前面的示范一致：

1. 从首页与考试相关的公开通知入手；
2. 在相关页面的网页源代码中寻找未公开的注释、路径或其他线索；
3. 提取路径并主动访问，核验返回内容的真实密级与公示状态；
4. 记录完整调查过程，并提取 COIN。

形成规范记录

打开名单后，先仔细阅读标题和正文，确认它确实是未公示的补考学生名单。然后，在记事本中记录调查轨迹：

• 线索在哪里被发现；
• 访问了哪个具体路径；
• 以什么身份读取到哪些敏感字段；
• 给维护者的修复建议与后续复测方案。

清晰、扎实的报告不仅能说明问题，也能帮助系统维护者快速定位漏洞根源。

提交通关凭据

在这份未公示补考名单页面底部，有一行 COIN{...} 格式的成功标志。完成记录后，将该 COIN 提交到答题平台。如果提交失败，请检查大小写和前后空格，再重新提交。

负责任披露准则

日常上网时，如果你意外发现某网站存在敏感数据泄露，应该怎么做？

正确做法是将调查记录整理成结构化报告，通过正规渠道提交给网站安全团队。报告通常包括：受影响资产、触发步骤、泄露数据性质与复现凭证。这种以保护用户安全为出发点、帮助维护者修复缺陷的行为，被称为负责任的漏洞披露（Responsible Disclosure）。

在实际操作中，应严格遵守以下准则：

1. 点到为止：验证漏洞存在后，应立即停止进一步扩大影响。比如确认能读取单条测试数据即可，严禁批量抓取数据库或翻阅他人隐私记录。
2. 严守秘密：在官方完成修复前，不要把漏洞细节、利用脚本或泄露样本发布到社交平台、公开论坛或群聊中。
3. 合法报告：通过企业官方 SRC（安全应急响应中心）或主管部门认可的安全联络渠道私下反馈。报告中如涉及敏感信息，应主动脱敏或遮挡。

认识 EDUSRC

在国内教育行业，上海交通大学等高校联合建立了面向全国高校的第三方公益性安全平台——EDUSRC（教育漏洞报告平台）。该平台负责接收高校及教育机构的信息系统安全缺陷，并协同受影响单位开展安全处置。

进入 EDUSRC 官网后，可以在“关于”和“漏洞提交规范”页面学习合规细则。需要特别注意：EDUSRC 收录某所高校的漏洞，并不等于它授权你对该校系统开展任意安全测试。正规平台组织的演练都要求测试行为限定在授权时间和范围内进行。

在实际提交报告时，EDUSRC 会严格区分公开展示的漏洞标题与加密传输的详细复现步骤。安全测试应在授权范围内进行，并遵守平台规则与相关法律法规。