从CNVD-2021-30167看企业安全运维：用友NC漏洞的应急响应与防范指南

企业安全实战：用友NC反序列化漏洞的防御体系建设指南

当CNVD-2021-30167漏洞公告发布时，某金融公司的安全团队在凌晨2点收到告警——他们的核心ERP系统正在遭受异常请求攻击。攻击者试图通过BeanShell接口执行系统命令，这正是该漏洞的典型利用特征。这个真实案例揭示了现代企业面临的关键挑战：如何在漏洞公开后的黄金24小时内构建有效防御。

1. 漏洞本质与企业风险评估

用友NC系统的BeanShell反序列化漏洞（CNVD-2021-30167）本质上是一个远程代码执行漏洞。攻击者通过访问/servlet/~ic/bsh.servlet.BshServlet接口，能够直接向服务器提交Java代码片段。更危险的是，默认配置下该接口无需任何身份验证。

企业自查三要素：

1. 资产测绘：使用以下命令快速扫描内网NC系统分布（需安装nmap）：

   nmap -p 80,443 --script http-title -oX nc_scan.xml 10.0.0.0/24 grep "Yonyou NC" nc_scan.xml

2. 版本识别：通过登录页源码或/uapjs/jsp/ui2/md5.js文件版本号确认受影响范围
3. 日志特征：在Web日志中筛选包含BshServlet和exec(关键字的请求

某制造业企业的监控数据显示，漏洞公开后72小时内，其暴露在公网的NC系统遭受了超过3000次探测请求。这印证了漏洞武器化的典型时间窗口：

2. 应急响应四步防御法

2.1 即时流量封堵

在WAF或网络设备上部署以下防护规则（以Nginx为例）：

location ~* /servlet/~ic/bsh\.servlet\.BshServlet { deny all; return 403; }

同时建议添加以下正则规则拦截恶意payload：

(exec\(|Runtime\.getRuntime|ProcessBuilder)

2.2 系统级防护策略

对于无法立即重启的系统，实施操作系统层防护：

# 临时文件权限限制 chmod 000 $NC_HOME/webapps/ROOT/servlet/~ic/bsh.servlet.BshServlet # 网络层隔离 iptables -A INPUT -p tcp --dport 8080 -m string --string "BshServlet" --algo bm -j DROP

2.3 深度日志分析

使用ELK栈构建实时检测方案：

1. 配置Logstash过滤规则：

   filter { if [message] =~ /BshServlet.*?(eval|exec)/ { mutate { add_tag => ["CNVD-2021-30167"] } } }

2. 设置Kibana告警看板监控异常请求频率

2.4 补丁验证流程

官方补丁需通过严格测试：

1. 在隔离环境验证补丁兼容性
2. 使用自动化测试工具验证漏洞修复：

   import requests resp = requests.get("http://testenv/servlet/~ic/bsh.servlet.BshServlet") assert "BeanShell" not in resp.text, "漏洞未完全修复！"

3. 安全加固长效机制

3.1 最小化权限原则

实施精细化的Java安全策略，在java.policy中添加：

permission java.lang.RuntimePermission "accessClassInPackage.sun.*"; permission java.lang.RuntimePermission "defineClassInPackage.sun.*";

限制关键Java类的访问权限。

3.2 网络架构优化

建议的网络分区方案：

3.3 开发安全规范

建立企业级安全编码标准：

• 禁止反序列化不可信数据
• 必须实现接口鉴权
• 关键操作需二次确认

4. 安全运维体系升级

某大型零售集团在漏洞事件后重构了其安全运维流程，形成以下最佳实践：

1. 资产管理系统：自动标记存在已知漏洞的组件
2. 威胁情报平台：实时监控CNVD、NVD等漏洞库
3. 红蓝对抗机制：每月模拟真实攻击测试防御体系

他们的自动化漏洞扫描系统现在包含如下检查项：

- name: CNVD-2021-30167检测 request: url: "{{base_url}}/servlet/~ic/bsh.servlet.BshServlet" method: GET validate: - status_code: 200 - not: contains("BeanShell")

在最近一次攻防演练中，这套体系成功在漏洞披露后2小时内完成了全网的防护部署，将潜在攻击面降低了92%。安全团队负责人提到："真正的考验不在于是否遭遇攻击，而在于攻击发生时，我们的响应速度能否跑赢自动化攻击工具。"