Access Control: Privilege Escalation

程序可能会允许非授权用户执行仅对权限更高的用户可用的命令。

正常情况下，SAP 应用程序会对执行此应用程序的用户（已登录用户）执行授权检查。但是，它可能会通过下列方式检查其他用户（非登录用户）的授权：
1. 使用 AUTHORITY-CHECK 语句，同时附加 FOR USER
2. 对指定的用户调用 AUTHORITY_CHECK 函数模块
3. 对指定的用户调用 SU_RAUTH_CHECK_FOR_USER 函数模块

尽管有时候存在执行的必要，但执行此类检查常常会导致权限扩大安全风险。如果恶意用户可以控制执行授权检查所针对的“用户 ID”输入，该用户将能够通过提供已知超级用户（如 SAP* 或 DDIC）诱使系统提供禁止该用户享有的访问权限。

即使用户无法直接控制用于授权检查的“用户 ID”，探测其他用户的授权也是一项不好的行为，需要加以避免。执行授权检查时无需明确指定登录用户 (sy-uname)。这是默认的操作方式，因为明确指定登录用户只会让攻击者有机可趁，即 sy-uname 在实际执行检查前被操控。因此，一般情况下最好跳过另外一名用户的检查授权，特别是不要明确指定登录用户。

例 1： 以下代码首先检查用户授权，然后再调用可执行任何 ABAP 程序的事务。

...
AUTHORITY-CHECK OBJECT 'S_TCODE' FOR USER v_user
ID 'TCD' FIELD 'SA38'.
IF sy-subrc = 0.
CALL TRANSACTION 'SA38'.
ELSE.
...

在此示例中，非授权用户可通过为变量 v_user 提供已知超级用户（如 SAP* 或 DDIC）启动任何 ABAP 程序。