从一次应急响应看致远OA wpsAssistServlet漏洞的利用与防御
从一次应急响应看致远OA wpsAssistServlet漏洞的攻防实战
凌晨3点15分，安全运维工程师李工的手机突然响起刺耳的告警声。SOC平台显示某业务服务器上检测到可疑的Webshell连接活动。这个看似普通的深夜告警，最终揭开了一起针对致远OA系统wpsAssistServlet接口的精准攻击。本文将完整还原这次应急响应的技术细节，从攻击痕迹分析到漏洞原理剖析，最终给出可落地的防御方案。
1. 事件回溯：异常Webshell的发现与追踪
李工第一时间登录到受影响服务器进行排查。通过分析Web访问日志，发现攻击者通过多次尝试，最终成功上传了一个JSP格式的Webshell文件。关键日志条目显示：
POST /seeyon/wpsAssistServlet?flag=save&realFileType=../../../../ApacheJetspeed/webapps/ROOT/cmd.jsp&fileId=2 HTTP/1.1 Host: target.com Content-Type: multipart/form-data进一步检查服务器文件系统，在web应用根目录下确实发现了这个异常的cmd.jsp文件，其内容包含典型的命令执行功能：
<%@ page import="java.util.*,java.io.*"%> <% String cmd = request.getParameter("cmd"); Process p = Runtime.getRuntime().exec(cmd); ... %>攻击特征分析：
- 攻击者利用wpsAssistServlet接口进行文件上传
- 通过路径遍历(../../../)突破目录限制
- 最终上传位置为Web可访问目录
- 文件内容为JSP Webshell，具备远程命令执行能力
2. 漏洞原理深度解析
2.1 wpsAssistServlet接口的功能与缺陷
致远OA的wpsAssistServlet本是为实现文档在线协作功能设计的接口，正常业务流程中应该只允许上传特定类型的办公文档。但漏洞版本中存在三个关键设计缺陷：
- 未校验realFileType参数：攻击者可通过路径遍历指定任意保存位置
- 文件类型检查绕过：虽然接口声明接收办公文档，但实际未严格验证
- 权限控制缺失：接口未进行充分的身份认证和授权检查
2.2 漏洞利用的技术细节
攻击者精心构造的恶意请求包含以下关键要素：
| 参数/字段 | 恶意值 | 作用 |
|---|---|---|
| flag | save | 触发文件保存操作 |
| realFileType | ../../../../target/path | 实现目录穿越 |
| filename | test.jsp | 伪装成文本文件上传 |
| 文件内容 | JSP代码 | 实际恶意载荷 |
典型的漏洞利用流程：
- 发送精心构造的POST请求
- 服务器未校验路径参数，接受文件上传
- JSP文件被保存到Web目录
- 攻击者通过HTTP直接访问上传的Webshell
注意：实际攻击中，攻击者通常会先上传一个简单的测试文件确认漏洞存在，然后再部署功能完整的Webshell。
3. 影响范围与危害评估
3.1 受影响版本确认
通过漏洞验证和版本比对，确认受影响的具体版本包括：
- 致远A6/A8/A8N系列：
- V8.0SP2
- V8.1
- V8.1SP1
- 致远G6/G6N系列：
- V8.1
- V8.1SP1
3.2 潜在风险场景
一旦漏洞被利用，攻击者可以实现：
- 完全控制服务器：通过Webshell执行任意命令
- 数据泄露：读取数据库配置、下载业务数据
- 横向移动：以该服务器为跳板攻击内网其他系统
- 持久化驻留：安装后门、创建隐藏账户
4. 立体防御方案实施
4.1 紧急处置措施
发现攻击后应立即执行：
- 隔离受影响系统：从网络层面限制访问
- 清除恶意文件：查找并删除所有异常JSP文件
- 日志取证：保存所有相关日志用于后续分析
- 密码重置：修改所有可能泄露的凭证
4.2 长期加固方案
访问控制配置：
location /seeyon/wpsAssistServlet { deny all; }补丁管理策略：
- 联系致远官方获取最新补丁
- 在测试环境验证补丁兼容性
- 制定分批更新计划
- 更新后进行全面安全测试
纵深防御措施：
- 部署WAF规则拦截可疑请求
- 启用文件完整性监控(FIM)
- 加强日志收集和分析能力
- 定期进行安全渗透测试
5. 漏洞防御的体系化思考
这次事件暴露出几个典型的安全盲点：一是对OA系统的安全重视不足，认为办公系统风险较低；二是补丁管理流程存在滞后；三是缺乏有效的文件上传监控。建议企业安全团队：
- 建立第三方组件漏洞跟踪机制：订阅相关安全通告
- 实施最小权限原则：即使内部系统也应严格权限控制
- 加强文件上传监控：对Web目录的文件变更实时告警
- 定期红蓝对抗：通过实战演练检验防御体系有效性
在一次内部复盘会上，李工分享了这样一个发现：攻击者其实在成功入侵前进行了多达17次尝试，但之前的告警都被当作误报忽略了。这提醒我们，安全防御不仅需要完善的技术方案，更需要建立对安全告警的敬畏心和响应文化。