正方教务系统推出新版SQL注入漏洞利用工具。

简介：
通过对正方教务系统相关研究的了解，不少朋友可能注意到网络上流传的一篇关于/service.asmx中的BMCheckPassword存在注入漏洞的文章。然而，目前大多数正方教务系统已经将该接口移除，从而使得该漏洞无法进行实际利用。本人在对/service.asmx的其他接口进行了深入研究后，发现zfcwjk1接口同样存在类似的注入缺陷，因此特地编写了一套工具，旨在供大家学习和参考。zfcwjk1接口似乎主要用于财务相关的身份确认，其使用过程相对复杂一些，需要获取目标学校的任意学号。具体而言，程序执行时需要用户提供三个输入参数：首先是目标网址；其次是目标学校的任意学号；最后是年份（推测该参数用于确定所选学号所属的年份，可以尝试填写2012或2013年等值作为备选）。如果程序提示“cannot access target url”则表明目标网址输入可能存在错误，或者正方教务系统已经彻底移除了/service.asmx接口，此时该漏洞也就失去了可利用性。此外，如果在校内网络环境下进行操作，建议配置代理服务器以规避潜在问题。