# 渗透测试报告 —— ShopLite 小型在线商城

| 项目 | 内容 |
| --- | --- |
| 测试目标 | 192.168.107.3（ShopLite 小型在线商城） |
| Target ID | ca21f209 |
| 授权范围 | 以 80 端口 Web 服务为起点，扩大到该主机的授权服务（`/api` 后端） |
| 规则约定（RoE） | 标准 RoE：允许主动扫描、漏洞验证与授权范围内的利用；**禁止 DoS、破坏性操作与高风险稳定性影响行为** |
| 测试方法 | 参考 PTES（渗透测试执行标准）7 阶段方法学 |
| 测试时间 | 2026-08-28（UTC） |
| 输出语言 | 中文 |
| 报告版本 | v1.0（正式交付版） |

> 本报告依据全流程各阶段已归档交付物编写，每项发现均标注可复验证据路径。报告中未披露任何用户密码明文、口令哈希及敏感 PII 的完整内容，仅用于说明影响范围，符合标准 RoE。

---

## 1. 执行摘要（Executive Summary）

### 1.1 总体结论

对 ShopLite 小型在线商城（192.168.107.3）实施的一次授权渗透测试中，确认存在 **4 项可利用漏洞**，其中 **1 项为严重（Critical）级别**：攻击者可在**不持有任何密钥**的前提下，通过伪造 `alg=none` 的 JWT 令牌直接获得**全站管理员读写权限**，进而读取全部用户个人信息（含邮箱、手机号、家庭住址）与订单数据，并可篡改任意用户角色、商品信息等。该漏洞一旦被真实攻击者利用，可导致平台**全站沦陷**。

整体风险评级：**高（High）**。

### 1.2 风险总览表

| 编号 | 漏洞名称 | 严重度 | CVSS 3.1 | CWE | 利用前置条件 | 证据 |
| --- | --- | --- | --- | --- | --- | --- |
| F-001 | JWT `alg=none` 签名校验绕过 → 全站管理员提权 | **严重** | 9.8 | CWE-347 / CWE-287 | 无（仅需网络可达） | 阶段 04/05 evidence |
| F-002 | `/api/products` 参数 SQL 注入（PostgreSQL） | **高** | 8.1 | CWE-89 | 无（公开接口） | 阶段 04/05 evidence |
| F-003 | 头像上传任意文件 + 同源存储型 XSS 载体 | 中-高 | 6.1 | CWE-434 / CWE-79 | 任一登录账户 | 阶段 04/05 evidence |
| F-004 | 用户枚举 + 弱口令 `alice/alice123`，无速率限制 | 中 | 5.3 | CWE-200 / CWE-521 / CWE-307 | 无 | 阶段 04 evidence |

### 1.3 业务影响

- **数据泄露**：全量用户 PII（邮箱、手机号、家庭住址）、12 笔订单（含收货地址/明细）、14 条评论、2 条用户备注均可被未授权读取。
- **账户接管**：可借提权/资料篡改接管任意账户，或批量制造管理员身份。
- **业务篡改**：可篡改商品价格、库存，造成财务损失与业务中断风险。
- **信任声誉**：泄露事件与存储型 XSS 钓鱼链将严重损害平台用户信任。

### 1.4 最快攻击路径

```
获取任意有效 Bearer 令牌（开放注册即可）
   └──► 离线改写为 alg=none JWT（payload 设 role=admin, sub=1，空签名）
         └──► GET /api/admin/users|orders|products|comments 读取全量数据
               └──► PATCH /api/admin/users/{id} {role:"admin"} 建立/抹平管理员 → 全站接管
```

无需密钥、无需用户交互、可完全自动化，全程可在数秒内完成。

---

## 2. 范围与授权（Scope & Authorization）

### 2.1 目标清单

| 目标 | 描述 | 范围 |
| --- | --- | --- |
| 192.168.107.3:80 | ShopLite 商城 Web 前端（nginx）+ `/api` Express 后端 | 在授权范围内 |
| 192.168.107.3 其余端口 | TCP 全端口/UDP top-30 | 仅作识别，确认仅 80 开放 |

### 2.2 RoE 检查清单

| 项目 | 是否符合 |
| --- | --- |
| 允许主动扫描 | 是（SYN/Connect scan、目录、指纹） |
| 允许漏洞验证 | 是（在授权范围内确认可利用性） |
| 允许授权范围内利用 | 是（仅针对自建测试账户做写操作） |
| 禁止 DoS / 破坏性操作 | 遵守（未做高并发/重负载、未删改既有数据） |
| 稳定性与数据影响最小化 | 遵守（写操作仅作用于自建测试账户） |
| 语言 | zh-CN |

### 2.3 授权依据

授权范围见 `target/inputs/pre-engagement.md` 与 `target/scope.md`：以 80 端口 Web 服务为起点，随后按渗透流程扩大到该主机的授权服务。`target/roe.md` 明确定义标准 RoE。

---

## 3. 测试范围与方法（Methodology）

测试遵循 PTES 7 阶段方法学，各阶段执行情况与交付物路径如下：

### 3.1 情报收集（PTES 01 Pre-engagement / 02 Intelligence Gathering）

- 全端口 TCP 扫描确认 **仅 80/tcp 开放（nginx 1.27.5）**，UDP top-30 无确认开放服务。
- Web 指纹识别技术栈：**nginx 1.27.5 + Vite 构建的 React 18 SPA + Node.js Express 后端**；认证为 Bearer token（存 localStorage），无 Cookie。
- 枚举暴露面：公开 `/api/products(?q=&category=)`；认证 `/api/auth/{login,register,me}`、`/api/orders`、`/api/notes`、`/api/upload/avatar`；管理面 `/api/admin/{stats,users,products,orders,comments}`。
- 识别安全弱点：`Access-Control-Allow-Origin: *` 且允许 `Authorization` 头；无 CSP / X-Frame-Options / HSTS；`Server` / `X-Powered-By` 版本泄露。
- 交付物：D-001（资产/端口/指纹）、D-002（技术栈/暴露面）。

### 3.2 威胁建模（PTES 03 Threat Modeling）

- 建立资产/信任边界/用户角色模型，按 STRIDE + CIA 分类。
- 输出 12 条候选攻击路径，按价值×可行性排序为 P1–P8 验证优先级，并记录信息缺口 G1–G9。
- 核心判断：认证与授权链路（JWT、admin 越权、角色注入）为最高价值攻击面。
- 交付物：D-003。

### 3.3 漏洞分析（PTES 04 Vulnerability Analysis）

- 按 P1–P8 顺序对每条候选路径做实证验证：
  - P1 admin BFLA：普通用户直连 admin 端点 → 403（未确认越权）。
  - P2 JWT：弱密钥爆破（约 15.5 万密钥，未命中）；**发现并确认 `alg=none` 签名绕过**。
  - P3/P4 注册与资料角色注入：服务端过滤，未确认。
  - P5 注入：`/api/products?q=` **确认 PostgreSQL SQL 注入**（布尔+时间盲注）；`/api/products/{id}` 参数化不可注入。
  - P6 上传：**确认任意文件上传**，可存储 HTML/SVG（stored XSS 载体）。
  - P7 IDOR：未确认（orders/notes 严格按 token 用户归属）。
  - P8 **确认用户枚举（register 重名报错 + login 时序侧信道）+ 弱口令 alice/alice123 + 无速率限制**。
- 交付物：D-004、D-005。

### 3.4 漏洞利用（PTES 05 Exploitation）

- 对 F1–F4 做破坏性最小的正式利用验证，全程只读为主，写操作仅针对自建测试账户：
  - F1：伪造 `alg=none` token 走通完整 admin 接管链（读取全部 admin 数据 + PATCH 自建账户提权并回验闭环）。
  - F2：布尔/时间盲注复验，sqlmap 双类型确认，克制提取非敏感元数据（DB 版本/库/用户/表结构/字段名）。
  - F3：上传 `xss_proof.html` 并回读确认 `text/html` 可执行脚本。
  - F4：alice/alice123 登录确认，核查访问面（仅自身数据）。
- 交付物：D-006（evidence/f1_*、f2_*、f3_*、f4_*）。

### 3.5 后利用与影响评估（PTES 06 Post Exploitation）

- 量化数据面影响（15 用户/12 订单/18 商品/14 评论/2 备注），评估篡改能力与持久化特征（纯逻辑型漏洞，可持续伪造 admin）。
- 输出 8 个业务影响维度 + 3 条攻击链场景。
- 执行清理：自建测试账户降权为 user；识别 `xss_proof.html` 无删除接口的遗留项。
- 交付物：D-007（result.md、evidence/cleanup_evidence.txt）。

### 3.6 报告（PTES 07 Reporting）

- 整合各阶段交付物，产出正式中文报告 `report/report.md`。交付物：D-008。

---

## 4. 发现的安全问题（Technical Findings）

> 严重度依据漏洞可利用性、前置条件与影响综合评定，并给出 CVSS 3.1 评分与 CWE 分类。

### 4.1 F-001【严重】JWT `alg=none` 签名校验绕过 → 全站管理员提权

| 属性 | 值 |
| --- | --- |
| 严重度 | **严重（Critical）** |
| CVSS 3.1 | **9.8**，向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CWE | CWE-347（签名算法未正确校验）/ CWE-287（认证绕过） |
| 发现/利用阶段 | 漏洞分析（PTES 04）→ 利用验证（PTES 05） |

**CVSS 向量分解**

| 分量 | 评估 | 说明 |
| --- | --- | --- |
| 攻击向量 AV | N 网络 | 通过 HTTP `/api` 远程可达 |
| 利用复杂度 AC | L 低 | 无需任何绕过，直接伪造令牌 |
| 所需权限 PR | N 无 | 开放注册即得有效令牌（可选），甚至无需有效令牌 |
| 用户交互 UI | N 无 | 无需受害者交互 |
| 影响范围 S | U 不变 | 漏洞仅影响应用自身 |
| 机密/完整/可用 | H/H/H | 全量数据可读、可篡改，平台可被完全接管 |

**描述**

服务端 JWT 校验**未设置算法（alg）白名单**：它会对 HS256 令牌严格执行签名校验（篡改 payload、保留原签名的 HS256 令牌会返回 401），但**接受 `alg=none`（空签名）**，且**信任令牌内 `role` 声明**而非从数据库判定角色。攻击者只需将令牌 header 改为 {"alg":"none","typ":"JWT"}、payload 置为 role:admin、sub:1、签名留空，即可伪造出被服务端接受的管理员令牌，**全程无需任何密钥**。

**复现步骤**

1. 注册/登录取得一个 Bearer token（或直接观察任意合法 token 的解码结构）。
2. 构造新 JWT：header={"alg":"none","typ":"JWT"}，payload={"sub":1,"role":"admin","iat":...,"exp":...}，签名留空。
3. 以 `Authorization: Bearer <伪造token>` 请求（无需真实密钥）：
   - `GET /api/auth/me` → HTTP 200，返回 admin(id=1, role=admin) 身份。
   - `GET /api/admin/stats` → HTTP 200（全量统计）。
   - `GET /api/admin/users|products|orders|comments` → HTTP 200（全量数据泄露）。
   - `PATCH /api/admin/users/{自建测试id} {"role":"admin"}` → HTTP 200（提权有效，重新登录后令牌 role=admin）。

**证据路径**

- `04-vulnerability-analysis/delegations/D-004/artifacts/forged_tokens.txt`（伪造 alg=none / 篡改 HS256 对照令牌）
- `04-vulnerability-analysis/delegations/D-004/artifacts/alg_none_admin_data.txt`、`alg_none_me.txt`、`alg_none_patch_self.txt`、`post_patch_login.txt`
- `05-exploitation/delegations/D-006/evidence/f1_me.txt`、`f1_admin_data.txt`、`f1_admin_leaks.json`、`f1_patch.txt`、`f1_after_login.txt`、`f1_chain.txt`

**影响**

- 无需密钥即获**全站管理员读写**能力，可读取全部用户 PII、订单（含收货地址）、商品与评论数据。
- 可篡改任意用户角色（批量制造 admin / 降权现有管理员）、篡改用户资料、商品价格/库存等。
- 属**纯逻辑型持久化**：无需在服务器落下任何文件，攻击者可随时再次伪造 admin 身份，直至修复。

**修复建议**

1. 【P0·24h】在 JWT 验证处**强制算法白名单**，仅允许 HS256（或 RS256），显式拒绝 alg=none / none / None 及任何可变算法参数（使用主流 JWT 库的 algorithms 白名单参数）。
2. 【P0·24h】**立即轮换 JWT 签名密钥**，作废可能已泄露的既有令牌。
3. 【P0·24h】**角色改由服务端数据库判定**，每个请求从 DB 读取用户角色，不信任令牌内 role 声明。
4. 【P1·1 周】升级 JWT 库至无已知 CVE 的稳定版并做版本审计。
5. 【P1·1 周】引入统一 RBAC 中间件层做权限判定，而非在各路由独立校验。
6. 【P2·1 月】对全部 admin 操作记录审计日志（操作者/时间/IP/变更内容）；在 CI 中加入 JWT 安全检测门禁。

---

### 4.2 F-002【高】`/api/products` 参数 SQL 注入（PostgreSQL）

| 属性 | 值 |
| --- | --- |
| 严重度 | **高（High）** |
| CVSS 3.1 | **8.1**，向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L |
| CWE | CWE-89（SQL 注入） |
| 发现/利用阶段 | 漏洞分析（PTES 04）→ 利用验证（PTES 05） |

**CVSS 向量分解**

| 分量 | 评估 | 说明 |
| --- | --- | --- |
| 攻击向量 AV | N 网络 | 公开接口远程可达 |
| 利用复杂度 AC | L 低 | 直接注入 |
| 所需权限 PR | N 无 | `/api/products` 匿名可访问 |
| 用户交互 UI | N 无 | 无需交互 |
| 影响范围 S | U 不变 | 影响应用/数据库 |
| 机密性 C / 完整性 I | H / H | 可读取与改写数据 |
| 可用性 A | L 低 | 借时间盲注可拖慢查询，无直接 DoS |

**描述**

`GET /api/products?q=`（及 `category=`）参数经 `Prisma $queryRawUnsafe` 直接拼入 SQL 的 `ILIKE '%q%' ORDER BY id ASC` 子句，导致 SQL 注入。注入点为 PostgreSQL 关系型库，**兼具布尔盲注与时间盲注**，可逐字节有序提取数据库全部业务数据。已确认可通过盲注读取：DB 版本、库名、用户名、表结构、字段名。

**复现步骤**

1. 布尔盲注：`q=none' OR 1=1-- -` → 返回 18 条；`q=none' OR 1=2-- -` → 返回 0 条（baseline zzz 为 0 条）。
2. 时间盲注：`q=x' OR (SELECT CASE WHEN pg_sleep(3) IS NULL THEN 1 ELSE 1 END)=1-- -` → 约 3.09s（baseline 0.05s）。
3. sqlmap 自动确认 boolean-based + time-based，DBMS=PostgreSQL。
4. 克制元数据提取：version()=PostgreSQL 16.15（musl/Alpine）、current_database()=shoplite、current_user=shoplite；public 6 张表：OrderItem, Order, Note, Comment, Product, User；User 表字段含 password（哈希，未导出）。

**证据路径**

- `04-vulnerability-analysis/delegations/D-005/evidence/p5_sqli_products.log`、`p5_sqli_time.log`
- `05-exploitation/delegations/D-006/evidence/f2_meta.txt`、`f2_tables.txt`、`f2_columns.txt`、`f2_timeconfirm.txt`、`f2_sqlmap_meta.log`、`f2_sqlmap_tables.log`

**影响**

- 攻击者可读取数据库全部业务数据，**含 `User.password` 口令哈希字段**（本次未导出哈希值）。
- 若配合离线破解/进一步提取，可扩大为口令泄露与横向入侵。机密性与完整性风险均高。

**修复建议**

1. 【P0·24h】将 `$queryRawUnsafe` 全部替换为**参数化查询**（Prisma 参数化 API），杜绝把用户输入拼入 SQL 字符串。
2. 【P0·24h】在 nginx/WAF 层临时增加注入特征拦截规则（如 UNION、OR 1=1、pg_sleep 等）。
3. 【P1·1 周】全库审计所有 `$queryRawUnsafe` / `$executeRawUnsafe` 调用并替换；数据库连接按最小权限原则授权（读写分离）。
4. 【P1·1 周】对用户输入进行必要的白名单/转义（不能替代参数化）。

---

### 4.3 F-003【中-高】头像上传任意文件 → 同源存储型 XSS 载体

| 属性 | 值 |
| --- | --- |
| 严重度 | **中-高（Medium-High）** |
| CVSS 3.1 | **6.1**，向量 AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N |
| CWE | CWE-434（不受限制的文件上传）/ CWE-79（存储型 XSS） |
| 发现/利用阶段 | 漏洞分析（PTES 04）→ 利用验证（PTES 05） |

**CVSS 向量分解**

| 分量 | 评估 | 说明 |
| --- | --- | --- |
| 攻击向量 AV | N 网络 | 远程上传/访问 |
| 利用复杂度 AC | L 低 | 直接上传即可 |
| 所需权限 PR | L 低 | 需任一登录账户 |
| 用户交互 UI | R 需交互 | 需诱导受害者访问恶意文件 URL |
| 影响范围 S | C 已改变 | 可借助 xss 影响会话/权限 |
| 机密性 C | H | 可窃取令牌 |
| 完整性 I | L | 页面内容篡改 |

**描述**

`POST /api/upload/avatar`（字段 avatar）**无扩展名/内容类型白名单**：.png/.html/.svg/.php 及无扩展名文件均可上传，返回 `/uploads/avatars/<时间戳>-<原名>`；存储文件**按原名+原 MIME 回读**，.html 以 text/html 输出、正文 `<script>` 原样保留，且响应**无 CSP 头**。上传的 HTML 成为**同源存储型 XSS 载体**。路径穿越文件名已被规范化（斜杠剥离）未实现目录穿越；本次未落地 webshell、未执行命令（符合 RoE）。

**复现步骤**

1. 登录自建账户上传 `xss_proof.html`（含 alert 与 DOM 写入脚本）：`curl -X POST ... -F 'avatar=@xss_proof.html;type=text/html'` → 200，返回 url=/uploads/avatars/<ts>-xss_proof.html。
2. 回读该 URL：`curl http://192.168.107.3/uploads/avatars/<ts>-xss_proof.html` → HTTP 200，Content-Type: text/html; charset=UTF-8，无 CSP，脚本原样保留。

**证据路径**

- `04-vulnerability-analysis/delegations/D-005/evidence/p6_upload.log`
- `05-exploitation/delegations/D-006/evidence/f3_upload.json`、`f3_fetch_headers.txt`、`f3_fetch_body.txt`、`work/xss_proof.html`

**影响**

- 上传的恶意 HTML **持久存在**，可诱导管理员或其他用户访问，进而窃取会话令牌（localStorage 中的 Bearer token）实现账户/权限接管，或伪造登录页面钓鱼；与 F-001 叠加可放大至全站管理员接管。

**修复建议**

1. 【P0·24h】**清理已上传的恶意文件**（运维手动删除 `/uploads/avatars/` 下非预期扩展名文件）。
2. 【P1·1 周】**加强扩展名白名单**（仅允许 .jpg/.jpeg/.png/.gif/.webp）并校验 Content-Type/MIME。
3. 【P1·1 周】上传目录**禁止脚本执行**；返回文件强制 Content-Disposition: attachment。
4. 【P1·1 周】保存文件时**用随机 UUID 重命名**，不保留用户原始文件名。
5. 【P2·1 月】全局增加 CSP 头限制脚本执行来源。

---

### 4.4 F-004【中】用户枚举 + 弱口令 `alice/alice123`，无速率限制

| 属性 | 值 |
| --- | --- |
| 严重度 | **中（Medium）** |
| CVSS 3.1 | **5.3**，向量 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N（弱口令账户接管维度另计，综合评估） |
| CWE | CWE-200（信息泄露）/ CWE-521（弱口令）/ CWE-307（未限制攻击者条目） |
| 发现/利用阶段 | 漏洞分析（PTES 04）→ 利用验证（PTES 05） |

**描述**

- **用户枚举**：`POST /api/auth/register` 对已存在用户名明确返回「用户名已被注册」；`POST /api/auth/login` 存在时序侧信道——已存在用户约 25–30ms、不存在用户约 4ms（约 6–7 倍差异，错误消息一致）。
- **弱口令**：`alice / alice123` 可直接登录（HTTP 200，id=3，role=user）。
- **无速率限制**：连续 20 次+ 失败登录全部 401，无 429/锁定/重试头，可在线爆破。
- 访问面核查：alice 仅能读自身订单(2)/备注(2)/资料；`/api/admin/users` → 403，无其他用户单页接口 → **未发现横向越权读他人数据**。

**复现步骤**

1. 枚举：`POST /api/auth/register {"username":"alice",...}` → 返回「用户名已被注册」。
2. 弱口令：`POST /api/auth/login {"username":"alice","password":"alice123"}` → 200，返回 token + user{id:3}。
3. 爆破可行性：连续错误登录无锁定/限流。

**证据路径**

- `04-vulnerability-analysis/delegations/D-005/evidence/p8_enum.log`、`p8_weakpass.log`、`work/weakpass.py`、`work/ratelimit.py`
- `05-exploitation/delegations/D-006/evidence/f4_login.txt`、`f4_me.txt`、`f4_orders.txt`、`f4_notes.txt`、`f4_admin_denied.txt`

**影响**

- 单个账户（alice）接管风险；结合用户枚举与无速率限制，可对已知用户（alice/bob/carol 等）做低成本的在线爆破，可能扩大到更多账户接管。

**修复建议**

1. 【P1·1 周】login/register 采用**统一且时序一致的反馈**，避免区分用户是否存在。
2. 【P1·1 周】**登录加 IP 级速率限制**（如 5 次/分钟）与账户锁定策略（连续失败临时锁定）。
3. 【P1·1 周】**强制密码复杂度**；通知 alice 等弱口令用户立即改密。
4. 【P2·1 月】为管理员账户启用 MFA。

---

### 4.5 已排除 / 降级项（复核无风险）

| 项 | 结论 | 说明 |
| --- | --- | --- |
| P1 admin BFLA（普通用户直连 admin） | 未确认 | 服务端存在角色 403 拦截，普通用户无法直接越权（但其防线可被 F-001 完全绕过） |
| P3/P4 注册/资料角色注入 | 未确认 | 服务端过滤/覆盖 role 字段 |
| P7 订单/备注 IDOR | 未确认 | 严格按 token 用户归属 |
| P2 JWT 弱密钥爆破 | 未破解 | 密钥非常见弱值（约 15.5 万密钥未命中）；因 F-001 弱密钥问题降为次要 |
| CORS 越权读取 | 低风险 | token 存 localStorage，跨域无法直接读取，需先有 token 泄露链 |

---

## 5. 攻击链分析（Attack Chain Analysis）

### 5.1 最快攻击路径

无密钥全站接管链，全程秒级、可自动化：开放注册取任意 token → 改写为 alg=none JWT（role=admin）→ 携带伪造 token 读取 `/api/admin/*` 全量数据 → PATCH 用户角色建立持久 admin。

### 5.2 完整攻击链（多漏洞组合）

```
[F004] 用户枚举 + 弱口令/开放注册 ──► 取得合法账户与已知用户名
   │
   ├──► [F001] 伪造 alg=none JWT ──► 全站 admin 读写（全站沦陷）
   │                                  ├─ 读全量 PII / 订单 / 备注
   │                                  ├─ 篡改角色 / 商品 / 库存
   │                                  └─ 可无限期反复获取 admin（逻辑型持久化）
   │
   ├──► [F002] SQL 注入 ──► 数据库层数据读取 / 口令哈希字段（可扩展横向）
   │
   └──► [F003] 上传恶意 HTML ──► 同源 stored XSS ──► 窃取令牌 → 放大 F001/F004
```

### 5.3 攻击链流程图（Mermaid）

```mermaid
flowchart TD
    A[开放注册 / 用户枚举 F004] --> B[取得合法 Bearer token 与已知用户名]
    B --> C[离线改写为 alg=none JWT F001]
    C --> D[GET /api/admin/users|orders|products|comments 全量数据读取]
    C --> E[PATCH /api/admin/users/{id} role=admin 建立或抹平管理员]
    D --> F[全站管理权 / 数据泄露]
    E --> F
    B -.-> G[SQL 注入 /api/products?q= F002 数据库读取/口令哈希]
    B -.-> H[上传恶意 HTML → stored XSS F003 窃取令牌]
    G -.-> I[横向 / 口令扩大]
    H -.-> J[放大 F001/F004]
```

---

## 6. 影响评估（Impact Assessment）

### 6.1 数据泄露统计

| 数据面 | 记录数 | 敏感信息类型 | 机密性影响 |
| --- | --- | --- | --- |
| 用户（User） | 15 | 用户名、邮箱、手机号、住址、bio | 高（全部用户 PII，含若干本测试自建账户） |
| 订单（Order） | 12 | 收货地址（真实街道/门牌）、商品明细、金额、用户关联 | 高 |
| 商品（Product） | 18 | 名称、描述、价格、库存 | 中 |
| 评论（Comment） | 14 | 评论内容、用户/商品关联 | 中 |
| 备注（Note） | 2 | 用户收货地址备注、待购清单 | 中 |

> 注：部分用户/订单/商品为测试期间自建的无害数据；受影响的既有真实用户 PII 以邮箱、手机号、住址为主。

### 6.2 PII 明细表（脱敏）

| 字段 | 涉及范围 | 敏感性 |
| --- | --- | --- |
| 邮箱 email | 全部用户 | 高 |
| 手机号 phone | 全部用户 | 高 |
| 家庭住址（订单 address） | 12 订单 | 高 |
| 用户备注（notes） | 2 条 | 中 |
| 口令哈希（User.password） | 全部用户（本测试未导出） | 极高（潜在） |

### 6.3 CIA 三性评估

| 维度 | 影响 | 说明 |
| --- | --- | --- |
| 机密性 | 严重受损 | 全量 PII、订单、备注可未授权读取 |
| 完整性 | 严重受损 | 角色、资料、商品可任意篡改 |
| 可用性 | 中 | 无 DELETE 接口，但可篡改价格/库存导致业务功能被破坏 |

### 6.4 合规风险

- 涉及中国《个人信息保护法》（PIPL）等对个人信息保护的要求：用户邮箱、手机号、住址等敏感信息未受充分保护即可被公开面读取，存在合规与处罚风险。建议评估是否需向受影响用户履行通知义务。

### 6.5 持久化与横向

| 维度 | 结论 |
| --- | --- |
| 持久化 | 纯逻辑型：JWT alg=none 缺陷使攻击者可持续伪造型 admin，无需文件后门，直至修复 |
| 横向移动 | F002 可读取口令哈希字段（未导出）；F004 可对已知用户在线爆破；均可作为横向/扩大入侵基础 |

---

## 7. 加固与恢复建议（Remediation Priority）

### P0 —— 24 小时内（停机级，优先）

| 修复项 | 关联发现 | 具体修复方法 |
| --- | --- | --- |
| JWT 强制算法白名单 + 密钥轮换 + 角色服务端判定 | F-001 | 仅允许 HS256/RS256，拒绝 alg=none；轮换签名密钥；role 由 DB 判定 |
| SQL 参数化改造 + WAF 临时拦截 | F-002 | 替换 $queryRawUnsafe；nginx/WAF 加注入特征规则 |
| 清理上传的恶意 HTML | F-003 | 运维手动删除 /uploads/avatars/ 下非预期扩展名文件 |

### P1 —— 1 周内

| 修复项 | 关联发现 | 具体修复方法 |
| --- | --- | --- |
| 上传扩展名/Content-Type 白名单 | F-003 | 仅允许图片扩展名并校验 MIME |
| 上传目录禁止脚本执行 + 随机重命名 | F-003 | nginx 禁脚本执行、UUID 命名 |
| 登录速率限制 + 账户锁定 + 强制密码复杂度 + 用户枚举防护 | F-004 | IP 限流、失败锁定、统一反馈时序、强制改密 |
| JWT 库升级 + RBAC 中间件 | F-001 | 升级无 CVE 版本；统一权限校验层 |
| 最小权限数据库账号 | F-002 | DB 用户按表最小权限、读写分离 |

### P2 —— 1 月内

| 修复项 | 关联发现 | 具体修复方法 |
| --- | --- | --- |
| 全局 CSP、安全响应头 | F-003 | 增加 CSP/X-Frame-Options/HSTS |
| admin 操作审计日志 | F-001 | 记录操作者/时间/IP/变更 |
| CI JWT 安全门禁 + 代码审计 | F-001/F-002 | 流水线加 JWT 检测；审计所有 Raw SQL |
| 安全编码培训 / 定期渗透测试 | 综合 | OWASP Top10 培训、周期测试 |
| 为 admin 启用 MFA | F-004 | 管理员多因素认证 |

---

## 8. 清理记录（Cleanup Record）

### 8.1 已完成清理

| 清理项 | 操作 | 结果 |
| --- | --- | --- |
| 自建测试账户 exp_test_1787877095（id=14） | PATCH /api/admin/users/14 设置 role=user | 已降权为 user |
| 自建测试账户 pentest_1787876690（id=11） | 降权为 user | 已降权为 user |
| 既有用户核验 | 复核全表 | alice/bob/carol 等 role=user 未改动；admin(1)/manager(2)=admin 保持不变 |

证据：`06-post-exploitation/delegations/D-007/evidence/cleanup_evidence.txt`

### 8.2 未能清理项

| 遗留项 | 原因 | 建议后续清理 |
| --- | --- | --- |
| 上传文件 xss_proof.html（/uploads/avatars/<ts>-xss_proof.html） | 服务端无 DELETE 接口，上传接口仅 POST | 运维人员登录服务器文件系统手动删除；清理完成前该 URL 仍为可访问的 stored XSS 载体 |
| User.password 口令哈希 | 受 RoE 约束未导出 | 若后续获更坚实授权，可提取后离线评估弱口令占比 |

---

## 9. 附录（Appendix）

### 9.1 技术栈

| 层 | 技术 |
| --- | --- |
| Web 服务器/反代 | nginx 1.27.5 |
| 前端 | React 18 SPA（Vite 构建） |
| 后端 | Node.js Express（/api），X-Powered-By: Express |
| 数据库 | PostgreSQL 16.15（库 shoplite，用户 shoplite，Prisma ORM） |
| 认证 | Bearer JWT（存 localStorage） |
| 架构 | 同源单机：nginx 直出静态 SPA + 反代 /api 到 Express；对外仅 80 端口 |

### 9.2 API 端点汇总

| 分类 | 端点 | 说明 |
| --- | --- | --- |
| 公开读 | GET /api/products(?q=&category=)、GET /api/products/categories、GET /api/products/{id}（内嵌评论） | 商品列表/分类/详情；F-002 注入点 |
| 认证 | POST /api/auth/login、POST /api/auth/register、GET /api/auth/me | 认证相关（register 开放） |
| 认证 | GET/POST /api/orders、POST /api/orders/{id}/cancel、GET/POST /api/notes | 订单/备注 |
| 认证 | POST /api/upload/avatar | F-003 任意文件上传 |
| 管理 | /api/admin/{stats,users,products,orders,comments} 及 PATCH/DELETE /{id} | F-001 伪造 admin 可全量访问 |

### 9.3 测试账户（均已处置）

| 账户 | 说明 | 状态 |
| --- | --- | --- |
| pentest_1787876690（id=11） | 漏洞分析阶段自建 | 已降权为 user |
| exp_test_1787877095（id=14） | 利用验证阶段自建，曾经 admin | 已降权为 user |
| dtest5（id=10）、dtest99（id=13） | 注入/上传验证无害测试数据 | 保持 user |
| 既有 alice（id=3）/bob（4）/carol（5） | 真实用户，alice 弱口令已验证 | 未修改其数据，仅验证登录 |

> 报告中不披露任何测试账户口令明文；F-001 仅说明伪造 alg=none 令牌的概念与验证结果，不罗列超过测试所需的敏感数据。

### 9.4 Findings 汇总

| 编号 | 漏洞 | 严重度 | 状态 |
| --- | --- | --- | --- |
| F-001 | JWT alg=none → 全站 admin 提权 | 严重 | 已确认、已闭环验证 |
| F-002 | /api/products SQL 注入 | 高 | 已确认 |
| F-003 | 任意文件上传 + stored XSS | 中-高 | 已确认 |
| F-004 | 用户枚举 + 弱口令 + 无速率限制 | 中 | 已确认 |

### 9.5 交付物路径

| 阶段 | 交付物 |
| --- | --- |
| 情报收集 | `stages/02-intelligence-gathering/delegations/D-001`、`stages/02-intelligence-gathering/delegations/D-002` |
| 威胁建模 | `stages/03-threat-modeling/delegations/D-003` |
| 漏洞分析 | `stages/04-vulnerability-analysis/delegations/D-004`、`stages/04-vulnerability-analysis/delegations/D-005` |
| 漏洞利用 | `stages/05-exploitation/delegations/D-006` |
| 后利用 | `stages/06-post-exploitation/delegations/D-007` |
| 报告 | `report/report.md`（本报告） |

---

## 10. 风险评分与结论

**整体风险评级：高（High）**

ShopLite 商城存在 **1 项严重 + 1 项高 + 2 项中高的已确认漏洞**。其中 F-001（JWT alg=none 签名绕过）可在无任何前置条件、无需密钥的情况下实现**全站管理员接管**，是本次测试最高优先级的风险；F-002、F-003 进一步扩大了数据泄露与攻击面。

**建议**：立即按第 7 章 P0（24 小时）优先级修复 F-001/F-002/F-003，尤其是 JWT 算法白名单 + 服务端角色判定；随后在 P1（1 周）内完成上传白名单与登录防护加固，并在一个月内完成综合安全加固与代码审计。修复后建议进行一次回归渗透测试，确认漏洞闭环。

---

*报告生成：2026-08-28 · 基于全流程 6 个阶段归档交付物编写 · 标准 RoE · 输出语言 中文*