近日，joomla官方给出了一个安全公告。从公告可知Joomla! CMS versions 2.5.0 - 3.9.16版本在处理用户组时缺少对根用户组的检查，从而导致了一个提权漏洞的产生(CVE-2020-11890)。
经过我分析之后发现，想要利用这个漏洞，必须先要有一个管理员账号，而这个漏洞的作用仅仅能将管理员提权为超级管理员。
虽然这个漏洞看起来无比鸡肋，但是分析过程却其乐无穷：既了解joomla是如何实现用户组权限划分，又复习了下数据结构。总体上来说漏洞虽小，但分析过程还是很有研究与记录价值的。
漏洞分析
本次漏洞可以将joomla系统中的Administrator用户提权为Super?Users。在分析漏洞前，我们来看一下Super?Users与Administrator有什么区别：
超级管理员?(Super?Users)：拥有Joomla的所有权限。并且超级管理员只能由另一个超级管理员来创建。
高级管理员（Administrator）：Administrator没有权限将一个用户升级成超级用户或者编辑一个超级用户、不可以修改Joomla的全局设置，没有权限来改变和安装模板和Joomla的语言文件。
作为测试，我们新建三个账号，分别为administrator（administrator用户组）、Super User（Super User用户组）、test（administrator用户组）
使用Administrator账号登陆，访问Joomla全局设置链接
/administrator/index.php?option=com_config
可见Administrator用户组权限不可以访问该功能页面。
使用Administration账号编辑test账号的用户组
?如何找到真正的黑客帮忙（有信誉的黑客联系方式）专业盗取QQ密码,开房查询，通话记录查询,查询QQ聊天记录，非常靠谱！在互联网时代，我们的生活发生了很大变化。以QQ为例，当我们过去联系别人的时候，我们只能打电话和发短信，但现在我们更喜欢QQ。QQ，作为一个拥有超过11亿用户的软件，可以说QQ已经成为我们生活的一部分，但是对于成都来说，用户对它的关注却是间接的！(3)作为一个拥有11亿多用户的软件，我们可以说已经成为我们生活的一部分。如果你不想被偷"，这个信息最好及时删除！
?
说QQ是"被偷了"，很多人当然不相信。毕竟QQ的安全程度太高了，根本不可能发生"盗窃"。但是，你要知道，有句名言叫"100米一书"，你真的很安全，但是如果我们不注意它，很容易就会有隐患，隐私泄露仍然只是一个小问题，最大的隐患是"偷号"，然后还有更多的损失！"？
?
因此，在这种情况下，我们必须记住删除这个信息，即"登录设备管理"。在生活中，我们必须借用别人的手机并登录到我们自己的QQ。然而，在使用QQ之后，许多小合作伙伴肯定不会退出，删除这些信息，只需再次登录他们的移动电话。事实上，这样做的潜在危险特别大。因为如果您不手动登录，下次别人的电话将自动登录到我们的手机上。
?
一旦QQ被其他人登录，隐私泄露就不可避免，最严重的是"被盗号码"。因此，为了避免隐藏的危险，无论何时，我们都应该记住定期到QQ设置，点击"帐户和安全"，然后点击"登录设备管理"，然后删除所有"奇怪设备"，不管我们退出是否。没有其他人可以登录到我们的密码！
?
所以，白米守卫一个稀疏，虽然QQ自己也很安全，但是如果他们不注意，或者容易出现隐患，QQ的用户可以注意哦，必须及时删除这个信息，你觉得这个怎么样？
?
图片查看：
查询分类： 游戏web发展
用户提问： 如何找黑客帮忙
状态： 已解决
调查用时： 837小时
哪里能找到真正的黑客可以
1、再哪能找到真正的黑客?首先黑客不接小单,如果不花大价钱是找不到真正有技术的黑客的,反而找到的是一群骗子,请谨慎。 在那能找到黑客这么跟你说吧!厉害的黑客,一般不会出现在这的!要么被国家给招了!要么去正规网络公司了,要么被网监抓了。还有及少数隐藏的好没被抓到,怎么样才能找到网上黑客呵呵哈哈哈 这些大部分是骗人的 黑客接货有自己的渠道哪里找黑客别听别人乱说。你要是想找真真正正的 Hacker 。
2、还的去监狱找。哪里才都是真正的Hacker。其他的都是杀B 一个 HI 你说我说的对吗?
3、淘宝上怎么找到可以破解QQ的高手?不可能破解,黑客顶多也是偷人家的密码而已,在他的电脑上放病毒,只要登陆QQ就可以账号密码发到黑客QQ。
05小时56分时前回答 已被981人点赞
求黑客高手QQ联系方式
1、为了方便起见，黑客是一个秘密的存在。影视作品中的艺术肌理使我们心目中的黑客形象更加复杂。
2、1艺术黑客有许多黑客风格的电影，类似于黑客帝国。
3、2黑客在《现实》中今年5月，该组织的“匿名者”出现在美国联邦，在世界上仅次于黑客，没想到与四川大学校长单独出现。
4、5月16日，黑客入侵了一家大型的play judge经纪公司，从中赎回了4200万美米。否则，它会打开很多非常强大的黑色材料。
5、然后黑客该组织声称收到了一笔5万美米的押金，被媒体掩盖，很可能由特朗普支付。
6、3黑客当然，它们在模拟收藏中有着巨大的威力，但在现实生活中黑客也是最相似的，这必然大于黑客。即使一个家庭遇到他，他们为什么要用一个顶级黑客来接连拉把手如何判断谁是黑客？很难得到足够的。看看他们的特点：1）坚强耐心2）大胆胆小3）一举取胜4）强调家电5）卡利Linux的正义感
