WooYun.org

完整测试过程：
  首先，去官网下载一个完整安装包：
  http://rtx.tencent.com/rtx/download/index.shtml
  
  安装服务器端和客户端：
 
（默认下载是TRX2011版，是否是所有版本有影响，没完全测试，但根据部分实例测试来看，大部分版本都有此问题！）

然后，发现
http://127.0.0.1:8012/userlist.php
可以直接访问到，里面包含所有用户的用户名等信息的json（里面我添加一个存在弱口令的test帐号，以便后面的测试）：
 为什么会直接就能访问到这个userlist.php了？
  不管后面的危害如何，这些重要数据是不是不能对普通用户？

看看源代码（虽然不喜欢看代码，也没有用过php），发现是个比较2的失误：
 在RTXServer\WebRoot路径下找到userlist.php文件：

<?php 
header('Content-Type: text/html; charset=utf-8');
//require_once "IPLimit.php";
$connstr = "Driver={Microsoft access Driver (*.mdb)};DBQ=../db/rtxdb.mdb";
$conn = @new COM("ADODB.Connection") or die ("ADO连接失败!");
$conn->Open($connstr);
$rs = @new COM("ADODB.RecordSet");
$sql ="select ID,UserName from Sys_user where AccountState<>1 or AccountState is null order by ID";
$rs->Open($sql,$conn,1,3);
$rs->MoveFirst();
$result = array();  
while(!$rs->EOF)
{
  $idField = $rs->Fields(0);
  $id = $idField->value;
  $nameField = $rs->Fields(1);
  $name = $nameField->value;
  
  $name = iconv("gb2312","utf-8", $name);
  array_push($result, array('id'=>$id,'name'=>$name));
	$rs->MoveNext();
}
$rs->close(); 
//print_r($result);
echo json_encode($result);
?>

第三行代码被注释掉了：
//require_once "IPLimit.php";

那么这个IPLimit.php是干什么的了？看命名就知道了，做ip限制的：

<?php
if (PHP_VERSION>='5')
 require_once('domxml-php4-to-php5.php');
$visitorIP = $_SERVER['REMOTE_ADDR'];
$visitorIP = trim($visitorIP);
//$visitorDns = $_SERVER['REMOTE_HOST'];
define("LOCAL_IP_PREFIX", 			"127.0.0.");
define("IPLIMIT_CONFIGFILE_NAME", 	"SDKProperty.xml");
define("ELEM_SDKHTTP", 				"SDKHttp");
define("ELEM_IPLIMIT", 				"IPLimit");
define("ATTR_LIMITENABLED", 		"Enabled");
define("ELEM_IP", 					"IP");
function GetIPLimitConfigFilePath()
{
	$path = dirname(__FILE__); // webroot
	$path = dirname($path); // RTXServer
	$path .= "\\";
	$path .= IPLIMIT_CONFIGFILE_NAME;
	
	return $path;
}
function IsVisitorLimited($visitorIP)
{
	if (strpos($visitorIP, LOCAL_IP_PREFIX) !== false)
	{
		return false;
	}
	
	$iplimitConfigFilePath = GetIPLimitConfigFilePath();
	if (!file_exists($iplimitConfigFilePath))
	{
		return false;
	}
	
	$isLimitEnabled = "0";
	$arPermittedIP = array();
	GetIPLimitInfo($iplimitConfigFilePath, $isLimitEnabled, $arPermittedIP);
	
	if ($isLimitEnabled == "0")
	{
		return false;
	}
	
	if (in_array($visitorIP, $arPermittedIP, false))
	{
		return false;
	}
	
	return true;
}
function GetIPLimitInfo($iplimitConfigFilePath, &$isLimitEnabled, &$arPermittedIP)
{
	$isLimitEnabled = "0";
	
	$dom = domxml_open_file($iplimitConfigFilePath);
	if ($dom == null)
	{
		header("http/1.1 404 domxml_open_file failed!");
		exit;
	}
	
	$dom_root = $dom->document_element();
	if ($dom_root == NULL)
	{
		header("http/1.1 404 ip limit config file invalid!");
		exit;		
	}
	
	$sdkhttpNode = NULL;
	$arPropertyChildNodes = $dom_root->child_nodes();
	for ($i = 0; $i < count($arPropertyChildNodes); $i++)
	{
		if (strcasecmp($arPropertyChildNodes[$i]->node_name(), ELEM_SDKHTTP) == 0)
		{
			$sdkhttpNode = $arPropertyChildNodes[$i];
			break;
		}
	}
	
	if ($sdkhttpNode != NULL)
	{
		 $arSDKCgiChildNodes = $sdkhttpNode->child_nodes();
		 foreach ($arSDKCgiChildNodes as $sdkcgiChildNode)
		 {
		 	if (strcasecmp($sdkcgiChildNode->node_name(), ELEM_IPLIMIT) == 0)
		 	{
		 		$arAttr = $sdkcgiChildNode->attributes();
		 		for ($i = 0; $i < count($arAttr); $i++)
		 		{
		 			if (strcasecmp($arAttr[$i]->name, ATTR_LIMITENABLED) == 0)
		 			{
		 				$isLimitEnabled = $arAttr[$i]->value();
		 			}
		 		}
		 		
		 		if ($isLimitEnabled == "1")
		 		{			 	
				 	$arChildNodesIP = $sdkcgiChildNode->child_nodes();
				 	foreach ($arChildNodesIP as $childNodeIP)
				 	{
				 		if (strcasecmp($childNodeIP->node_name(), ELEM_IP) == 0)
				 		{
				 			array_push($arPermittedIP, trim($childNodeIP->get_content()));
				 		}
				 	}
				}
			 	
			 	break;
		 	}
		}
	}	
}
if (IsVisitorLimited($visitorIP))
{
	echo "IP 受限，请联系管理员开放您的 IP";
	//header("http/1.1 404 IP limited!");
	exit;
}
?>

这里就有个问题了，这与腾讯的说法就矛盾了，如果userlist.php是正常权限，为什么会有这个功能限制了？

如果是代码审计失误造成的就算了；如果是主动注释掉，怕影响用户体验，那这是个最2的功能了，那这样为什么不做管理页面里？各种看不懂！