public static function end($content = '')    
 {        
 throw EndResponseException::create($content);    
 }

在进入权限检查的流程前需要在$this->app->user 不为空的情况下将 $this->session->user赋值给 $this->app->user ，然后再做权限检查。因此我们还需要构造一个$this->session->user，即写一个session['user']才能进行绕过。所以现在思路很清晰了，只需$this->session->user 存在就可以通过⽤户是否登录的检查，使权限检查的函数如同虚设。 根据这个思路逆推可以得出结论：只要有任意⼀个⽤户session就可以调⽤任意模块的任意⽅法。

经过代码审计发现captcha函数可以直接写入一个自定义key的session，此段代码本意是设置生成一个自定义session的key的验证码，开发者应该是想写一个公共的验证码生成函数让其他开发者做新功能需要的时候可以直接调用，正好可以利用生成一个key为user的session。

public function captcha($sessionVar = 'captcha', $uuid = '')    {        $obLevel = ob_get_level();        for($i = 0; $i < $obLevel; $i++) ob_end_clean();
        header('Content-Type: image/jpeg');        $captcha = $this->app->loadClass('captcha');        $this->session->set($sessionVar, $captcha->getPhrase());        $captcha->build()->output();    }

通过上述思路可以成功实现权限绕过，不过经过实际测试发现，能绕过访问的皆为公共模块。因为在禅道的功能权限验证中还有一部分是验证userid或level。就好比某些用户有“项目1”的权限，某些用户有“项目2”的权限，所以类似这类的数据任然不能访问获取。

实际上整个利用链最关键的一环就在上面的权限绕过上，禅道系统后台本身存在多个sql注入及命令执行漏洞，本文给出一种后台命令执行的方法供参考，其他利用点感兴趣的小伙伴可自行研究。

在权限绕过后，接下来我们需要分析后台命令执行点的位置。通过代码审计，最终锁定在module/repo/model.php文件，其中checkConnection函数会进行SCM=Subversion判断，$client是导致命令注入的参数点，一条完整的函数间调用的利用过程如下所示：

module/repo/model.php->create()

module/repo/control.php->edit ()

module/repo/model.php->update($repoID)->checkConnection()->exec($versionCommand,$versionOutput, $versionResult);

PS：为什么要创建仓库，因为在查看checkConnection调用函数为create和update，但是在create的时候必须经过checkClient 的判断，必须要创建一个文件才行，如果SCM指定为Gitlab就不需要通过checkClient判断。

1.进入创建仓库的函数:module/repo/model.php

public function create(){    if(!$this->checkClient()) return false;    if(!$this->checkConnection()) return false;
    $isPipelineServer = in_array(strtolower($this->post->SCM), $this->config->repo->gitServiceList) ? true : false;
    $data = fixer::input('post')        ->setIf($isPipelineServer, 'password', $this->post->serviceToken)        ->setIf($this->post->SCM == 'Gitlab', 'path', '')        ->setIf($this->post->SCM == 'Gitlab', 'client', '')        ->setIf($this->post->SCM == 'Gitlab', 'extra', $this->post->serviceProject)        ->setIf($isPipelineServer, 'prefix', '')        ->setIf($this->post->SCM == 'Git', 'account', '')        ->setIf($this->post->SCM == 'Git', 'password', '')        ->skipSpecial('path,client,account,password')        ->setDefault('product', '')        ->join('product', ',')        ->setDefault('projects', '')->join('projects', ',')        ->get();    $data->acl = empty($data->acl) ? '' : json_encode($data->acl);    if($data->SCM == 'Subversion')    {        $scm = $this->app->loadClass('scm');        $scm->setEngine($data);        $info     = $scm->info('');        $infoRoot = urldecode($info->root);        $data->prefix = empty($infoRoot) ? '' : trim(str_ireplace($infoRoot, '', str_replace('\\', '/', $data->path)), '/');        if($data->prefix) $data->prefix = '/' . $data->prefix;    }

当SCM类型指定为Subversion时，后续控制$client才可以完成命令注入。

2.编辑代码仓库进入module/repo/control.php中的edit函数，post传参会进入到update函数。

public function edit($repoID, $objectID = 0){        $this->commonAction($repoID, $objectID);
        $repo = $this->repo->getRepoByID($repoID);        if($_POST)        {            $noNeedSync = $this->repo->update($repoID);            if(dao::isError()) return $this->send(array('result' => 'fail', 'message' => dao::getError()));           $newRepo  = $this->repo->getRepoByID($repoID);            $actionID = $this->loadModel('action')->create('repo', $repoID, 'edited');            $changes  = common::createChanges($repo, $newRepo);            $this->action->logHistory($actionID, $changes);

跟踪update函数到module/repo/model.php，需要将scm设置为Subversion，此时会去检测svn服务器是否可以连接。

public function update($id){        
$repo = $this->getRepoByID($id);        
if(!$this->checkConnection()) return false;        
$isPipelineServer = in_array(strtolower($this->post->SCM),$this->config->repo->gitServiceList) ? true : false;        
$data = fixer::input('post')            
->setIf($isPipelineServer, 'password', $this->post->serviceToken)            
->setIf($this->post->SCM == 'Gitlab', 'path', '')            
->setIf($this->post->SCM == 'Gitlab', 'client', '')            
->setIf($this->post->SCM == 'Gitlab', 'extra', $this->post->serviceProject)            
->setDefault('prefix', $repo->prefix)            
->setIf($this->post->SCM == 'Gitlab', 'prefix', '')            
->setDefault('client', 'svn')            
->setDefault('product', '')            
->skipSpecial('path,client,account,password')

跟踪该函数，$this->post->SCM等于Subversions时会去check svn服务器version，此刻会把$this->post->client拼接到执行的versionCommand 中，造成命令执行。

if(empty($_POST)) return false;        
$scm      
= $this->post->SCM;        
$client   = $this->post->client;        
$account  = $this->post->account;        
$password = $this->post->password;        
$encoding = strtoupper($this->post->encoding);        
$path     = $this->post->path;        
if($encoding != 'UTF8' and $encoding != 'UTF-8') $path = helper::convertEncoding($path, 'utf-8', $encoding);        
if($scm == 'Subversion')        
{            
/* Get svn version. */            
$versionCommand = "$client --version --quiet 2>&1";            
exec($versionCommand, $versionOutput, $versionResult);            
if($versionResult)            
{                
$message = sprintf($this->lang->repo->error->output, $versionCommand, $versionResult, join("
", $versionOutput));                
dao::$errors['client'] = $this->lang->repo->error->cmd . "
" . nl2br($message);                
return false;            
}            
$svnVersion = end($versionOutput);

命令执行最终效果截图：