南大“标准哥”入侵老师邮箱搜考卷 要被开除？

2012年7月11日本报报道“标准哥”的版面。

2012年9月1日本报再次报道这位“软件小子”。

“标准哥”其人

“标准哥”是南京大学软件学院2010级男生刘靖康，这个外号源于今年7月刘靖康的一次“突发奇想”，他用7000张同学的照片做出南京大学各院系“标准脸”，网友送外号“标准哥”。

扬子晚报曾报道过的南大“标准哥”刘靖康又成为焦点，这位曾通过电话按键音成功破解360总裁周鸿祎手机号码的“软件小子”，竟然又利用漏洞入侵学校教务员邮箱搜到期末考试试卷，并将整个入侵过程公布在人人网上。

不过这次，他没这么幸运，学校很快知道了此事，还喊来了刘爸爸，连刘靖康自己也在人人网上说：“可能要被开除了。”南大“技术帝”真的要被开除了吗？扬子晚报记者昨日展开了追访。

A “标准哥”又成焦点

发帖演示如何搜出期末试卷

26日晚，刘靖康在人人网上发布了一条爆炸消息，如何通过入侵老师邮箱拿到期末考卷和修改成绩：“先声明，这个漏洞是无意中发现的，我只是验证了它可行了，但是最后是没有干坏事的，否则被发现会被退学的……另外就是目测很多高校的邮箱系统都有这样的漏洞，欢迎其他学校的同学去实践和验证……”

紧接着，这位“技术帝”一步步详细解析了入侵软件学院教务员信箱的整个过程。“一般来说，学院是相对独立的组织，我们的试卷都是由任课老师命题然后发给学院的教务员来打印，最终送到我们手上。怎么发呢，我觉得U盘QQ都不太靠谱也不好管理，猜测是邮箱发的，所以我们的目标就是要登录到教务员的邮箱那里，拿到试题。”“登录的话一般情况下需要密码……我们要利用的是cookie（cookie指某些网站为了辨别用户身份、进行session跟踪而储存在用户本地终端上的数据——百度百科的解释），因为服务器除了密码以外也认这个东西，而且这个东西我们可以在浏览器上伪造。”

怎么拿到cookie？刘靖康称“我们要再一次改思路：通过js让教务员把自己的cookie发回给我们。”25号晚9点多，他给教务员发了一封邮件，然后在26日收到回信后，迅速给cookie加上些东西变成了代码，再打开院邮，在chrome的console里输入登进教务员的邮箱了。“剩下的事情好办了，在邮件搜索‘卷’，就全出来了。”为了证明自己的确做到了，刘靖康还贴出了教务员邮箱有关试卷的邮件目录。“太多了，有13页，但是我们年级是3学期，所以下学期才考试哈。”刘靖康还保证，“我真没有打开过里面任何一封邮件和下载过试卷哦！”

成功“搜”出试卷之后，刘靖康还发表了一段关于“如何修改成绩”的猜想：“不出所料，成绩也是任课老师整理后在教务员那里汇总，然后再到学校教务处的，例如下面这种；方法很简单，将标题包含‘成绩’的邮件设置为spam，教务院就收不到了，然后你去spam那里去找回来，下载表格，修改成绩，以同样方法劫持任课老师的邮箱，重新发一封给教务员（大概可行吧，没试过）。”

这篇日志在人人网发表后，随即被疯狂转载，引发网友大讨论。在一堆“跪拜”之后，有人表示“思路很新颖，就是不够详细啊。关键是收到老师的邮件后怎么改cookie。”还有人“求研究生入学考试专业课试题！”

“标准哥”突然道歉删帖，说学校要开除他

不过到了27日上午8:35分，刘靖康删除了自己的这篇日志。“今天早上8点接到辅导员电话，该日志被勒令删除了，抱歉”。他写道：“本人只是验证，自己并没有做坏事，也没有鼓励大家做坏事。如果真的想利用这种漏洞做坏事，我自己就一个人偷着乐了，何必发出来分享呢。反过来讲，这种漏洞其实并不那么难发现，我觉得学校可能对自己的系统太自信了，或者知道了这种漏洞也懒得去改，无论是哪一种情况，他们都不能保证说之前一定没有学生偷偷这么做过。”他表示，这个日志的传播速度也在本人预期范围内。

随后刘靖康又在人人网上称，可能要被退学，爸爸已经被学校叫来谈话。“技术帝”被开除了，这一爆炸性消息再次激起网友的热议，一名自称刘靖康学弟的南大学生还给本报微博发来私信，“学长昨晚发现学校邮箱的漏洞破解了教务员的密码，学校打电话给他爸爸要开除他……”

不过，很快刘靖康又做出了解释：“非常抱歉，刚刚关于退学的状态，是我父亲把老师的意思理解并传达错了。”昨天下午，刘靖康再次正式道歉：“在此，为我的冲动、浮躁和做事方式，向担心我的人、受到不好影响的人，以及因此事受损的软件学院，表达我的歉意，对不起！而事情的结果会按照学校正常的处理流程得出。另外我还是希望此事对院邮，其他学校的系统和受日志启发去思考和验证的同学会有积极的结果。”

当事人变“忐忑”，学校暂无处理决定

昨天下午，扬子晚报记者再次拨通了刘靖康电话，之前因为他的“创新”，记者已经多次电话和他沟通，不过这次这名傲视群雄的“技术帝”一反常态，忐忑地表示不希望接受采访。

记者随后联系了南京大学软件学院相关负责人，当记者询问是否会对刘靖康做出退学处理，她表示暂没有处理决定，而且处理此事将按照学校正常流程走，并不是软件学院的单方面决定。

B 网友热议

是学校漏洞，还是“标准哥”玩过头

“如果没有充分考量后果，技术开发只能带来灾难”

从盗用7000张照片P成南大各院系“标准脸”，到2秒内通过电话按键音破解360总裁周鸿祎手机号码，南大软件学院刘靖康名噪一时，他的才能还博得李开复的青睐，被邀请加入“创新工场”。不过此次入侵邮箱看考卷事件在网上争议颇多。甚至引发了一番关于“技术及人文、责任”的讨论。

有网友认为，刘靖康发现漏洞不仅没有联系学校有关人员，反而在人人网上广而告之，“其实是无知带来的蝴蝶效应式的连锁反应。”“在技术开发之前如果没有对可能后果的足够充分，足够理性的考量，技术就只能带来灾难，或者更糟糕的，带来无法预知的甚至人类无法理解的问题。”“这就像故事皇帝的新装，明明是学校的邮件系统有漏洞，被学生发现破解后，应该是马上想办法把这个漏洞补上，而不是先要惩罚学生。”不少网友为他打抱不平，“呃……刘靖康同学只是发现而已，又没黑它，不能拿学生开刀吧……”

也有网友质疑其学校的学习氛围，“软件专业的学生，不是应该给他自由发挥的空间吗，我认为这位热爱互联网，执着于自己的专业，并用所学知识发现问题，这本身是值得鼓励的，但是发布到网上，教大家如何去破解，有点过分了。”

C 记者追访

多数高校真的用邮箱传试卷

是不是真的如刘靖康所说，学校考卷通过邮箱传送呢？记者昨日调查中证实了刘靖康的说法，在南京审计学院、南京财经大学等大部分高校，出卷老师从邮箱给教务老师发送试卷。一所高校相关人士告诉记者，在本校，历年的期中、期末的试卷都是由各院系教研室的专门老师负责出题的，确定题目审核无误之后，就直接发至教务处存档。然后由学校教务处联系印刷厂组织统一印刷。比如语文、英语、思修等通识课程。“学校为试卷传送设置了专门的邮箱，只有专门负责此事的老师知道密码。”

两种情况下邮箱密码可破解

什么情况下邮箱密码可被破解？记者昨天请教一名计算机专业人士。“通过发送邮件，回复邮件，套取cookie，从理论上说是无法实现的。”这名专业人士认为，刘靖康可能隐瞒了一些操作步骤。他分析，两种情况下，邮箱密码可以被破解的。一种是操作者电脑系统有漏洞，学生和老师都使用校园局域网，学生找到漏洞后，可以远程破解老师电脑windows密码,如果这名老师邮箱是“直接登录状态”，就可直接登录。如果设有密码，可以通过植入木马控制邮箱密码，实现登录。另一种情况是邮件系统漏洞，也就是服务器漏洞，也可以通过一些手段把邮箱中的数据提取出来。

■新闻链接

他加分进南大 曾三门课交“白卷”

让打火机的光在墙上画画、简易3D转换技术，摄像头识别人体动作……南京大学软件学院2010级男生刘靖康稀奇古怪的创意有不少，他本人也有些特立独行。

“电脑”加20分进南大

刘靖康的父亲是广东一家毛绒玩具厂负责人，母亲曾在银行工作。刘靖康从小学五六年级开始就自己琢磨着制作网页、网站，他的发明在常人眼里“稀奇古怪”。高中时，他参加了当时的全国中小学生电脑制作大赛，根据谷歌地图可以帮助用户看到世界各地街景的功能，他设计了一个“外挂”：用摄像头识别用户腿部前进、后退、转弯的动作，根据这些动作在电脑中显示相应“走”到的地方的街景。刘靖康因为这个项目获奖，在高考时获得了20分的加分，顺利进入南大学习。

期末三门交“白卷”

“我这个学期的期末考试有三门课交了白卷，准备开学来了再补考吧。”在接受采访时，刘靖康语出惊人，自己大部分时间都花在了感兴趣的“新玩意”设计上，那才是“主业”。上课的时间，刘靖康就琢磨自己的发明创造：用光感应的原理设计一面可以用打火机、手电筒的光“画画”的墙、“山寨版”3D技术，人人网推出“暗恋”功能时，他还自己设计了一个页面。

他还写了一个可供苹果、安卓校园手机用户进行二手物品交易的软件。随后，他又花了一个月的时间完成了在视频中插入植入式广告的技术。在父亲的鼓励下，小刘期待将自己的作品投入到商业应用中，用技术进行自主创业，吸引了多家公司与他洽谈合作业务。（记者 蔡蕴琦 张琳）