Mantis安全性研究-問(wèn)題隔離v1

1、 Mantis安全性研究問(wèn)題報(bào)告員訪問(wèn)隔離文檔作者：張恒斌創(chuàng)建日期：2022-01-23更新日期：2022-01-23文檔編碼：當(dāng)前版本：審批簽字：項(xiàng)目經(jīng)理項(xiàng)目經(jīng)理文檔控制變更記錄日期作者版本變更參考2010-9-13張恒斌原始文檔審核姓名職位分發(fā)拷貝編號(hào)姓名位置/崗位備注：出于文檔管理的目的，如果您收到了本文檔的電子版本，請(qǐng)打印出來(lái)并在封面的相應(yīng)位置寫(xiě)上您的名字。出于文檔管理的目的，如果您收到了本文檔的紙介質(zhì)版本，請(qǐng)?jiān)诜饷鎸?xiě)上您的名字。目錄Mantis安全性研究i文檔控制ii概述1目的1前期準(zhǔn)備1安全性測(cè)試1未決與已結(jié)問(wèn)題4未決問(wèn)題4已結(jié)問(wèn)題4概述目的通過(guò)該文檔將使閱讀者了解關(guān)于該客戶化功能

2、的實(shí)現(xiàn)過(guò)程及相關(guān)引用情況前期準(zhǔn)備1. 用戶創(chuàng)建以下兩個(gè)用戶(user1/user2)2. 項(xiàng)目本次在測(cè)試環(huán)境中創(chuàng)建了兩個(gè)項(xiàng)目(A項(xiàng)目/B項(xiàng)目)根據(jù)以上設(shè)置，張三可以看到AB兩個(gè)項(xiàng)目，李四只可看到B項(xiàng)目安全性測(cè)試Mantis本身已經(jīng)具備了對(duì)于項(xiàng)目的訪問(wèn)控制，公開(kāi)與私有兩個(gè)屬性再加上可以為指定用戶分配指定項(xiàng)目，通過(guò)交叉也就基本上可以實(shí)現(xiàn)了對(duì)于項(xiàng)目的訪問(wèn)控制本次研究的主要是基本相同項(xiàng)目的多個(gè)用戶間的數(shù)據(jù)隔離,經(jīng)過(guò)測(cè)試可以發(fā)現(xiàn)當(dāng)用戶在提交問(wèn)題時(shí)，如果查看權(quán)限一項(xiàng)選擇了私有，即可實(shí)現(xiàn)此在未分配指派前問(wèn)題僅有自己可以看到，相同等級(jí)的其他員工是無(wú)法看到的如果進(jìn)行推廣使用，那么就需要強(qiáng)制用戶在進(jìn)行問(wèn)題提交時(shí)，

3、強(qiáng)制選擇為私有即可解決訪問(wèn)隔離的需求修改mantis主目錄下的(row:484 / 485) ，修改如下：<label><input <?php echo helper_get_tab_index() ?> type="radio" name="view_state" disabled="disabled" value="<?php echo VS_PUBLIC ?>" <?php check_checked( $f_view_state, VS_PUBLIC ) ?

4、> /> <?php echo lang_get( 'public' ) ?></label><label><input <?php echo helper_get_tab_index() ?> type="radio" checked="CHECKED" name="view_state" value="<?php echo VS_PRIVATE ?>" <?php check_checked( $f_view_state, VS_PRIVATE ) ?> /> <?php echo lang_get( 'private' ) ?></label>1.程序?qū)崿F(xiàn)效果改完程序后，無(wú)需重啟，即可看到效果：本次修改的比較簡(jiǎn)單，將所有提交問(wèn)題的貼子都將強(qiáng)制為只能使用私有，2.測(cè)試對(duì)比User1用戶問(wèn)題清單：User2用戶的問(wèn)題清單：通過(guò)對(duì)界面上此項(xiàng)的限制，可以借助系統(tǒng)的標(biāo)準(zhǔn)功能來(lái)完成提交問(wèn)題的數(shù)據(jù)隔離，同時(shí)對(duì)程序的修改也是最小需要說(shuō)明一點(diǎn)的就是程序改后，對(duì)所有用戶起作用，并沒(méi)有做區(qū)分，即使管理員提交問(wèn)題也同樣會(huì)是私有的，不過(guò)考