企业安全实战：致远OA wpsAssistServlet漏洞应急响应全流程指南
当企业安全监控系统突然弹出红色告警，显示OA系统存在可疑文件上传行为时，作为安全团队负责人的你，心跳是否会漏跳一拍？致远OA作为国内广泛使用的协同办公平台，其wpsAssistServlet接口的任意文件上传漏洞已成为攻击者突破企业内网的热门入口。本文将从实际应急响应案例出发，手把手教你如何快速定位、分析和处置此类安全事件。
1. 漏洞特征与攻击行为画像
在2023年第三季度的企业安全威胁报告中，针对OA系统的攻击占比高达37%，其中利用文件上传漏洞的案例又占近六成。致远OA的wpsAssistServlet漏洞之所以危险，在于它允许攻击者绕过常规的文件类型检查，将恶意脚本上传至服务器任意可写目录。
典型的攻击链通常呈现以下特征时序：
- 侦察阶段：攻击者通过自动化工具扫描发现存在漏洞的致远OA实例
- 武器化阶段：构造特殊的POST请求包，包含路径穿越参数和Webshell内容
- 利用阶段：通过wpsAssistServlet接口上传包含恶意代码的.jsp文件
- 驻留阶段：访问上传的Webshell建立持久化控制通道
攻击成功后最常见的后续行为包括：
- 内网横向移动（通过Webshell执行扫描命令）
- 数据窃取（打包下载数据库备份文件）
- 勒索软件部署（加密重要业务文档）
2. 攻击痕迹定位与取证分析
当SOC控制台出现异常文件上传告警时，应按以下优先级收集取证数据：
2.1 日志分析关键点
检查Apache访问日志（access.log）时，重点关注包含以下特征的POST请求：
POST /seeyon/wpsAssistServlet?flag=save&realFileType=../../../../.*\.jsp典型恶意请求会显示如下特征：
| 特征项 | 正常请求 | 恶意请求 |
|---|---|---|
| 参数结构 | flag=save&realFileType=合法路径 | 包含多个../路径穿越 |
| Content-Type | application/octet-stream | multipart/form-data |
| User-Agent | 浏览器标识 | 工具类UA如python-requests |
注意：高级攻击者会修改User-Agent伪装成浏览器，此时需要结合其他特征综合判断
2.2 文件系统取证
使用以下命令快速定位可疑.jsp文件：
find /ApacheJetspeed/webapps/ -name "*.jsp" -mtime -7 -exec ls -la {} \;常见恶意文件特征包括：
- 异常创建时间（集中在告警时段）
- 非常规存放路径（如ROOT目录下突然出现）
- 文件内容包含典型Webshell函数：
Runtime.getRuntime().exec()new ProcessBuilder().start()- 加密的base64代码块
3. 应急响应标准化流程
建立系统化的响应流程能有效缩短MTTD（平均检测时间）和MTTR（平均修复时间）：
3.1 即时遏制措施
网络隔离：
- 在防火墙上临时阻断OA服务器的外网出向连接
- 关闭非必要的内网端口访问
服务降级：
# 紧急禁用wpsAssistServlet接口 mv /seeyon/wpsAssistServlet.class /seeyon/wpsAssistServlet.class.bak systemctl restart tomcat
3.2 深度排查步骤
按照以下检查清单进行系统体检：
- [ ] 检查最近一周创建的.jsp文件
- [ ] 审计crontab是否有异常任务
- [ ] 分析最近登录成功的SSH记录
- [ ] 检查数据库中的可疑新增账户
- [ ] 验证补丁安装情况：
# 检查致远OA版本号 cat /seeyon/version.txt | grep "A[68]-V8"
3.3 修复与加固方案
除官方补丁外，建议实施以下防御措施：
网络层控制：
- 在WAF上添加针对路径穿越（../）的过滤规则
- 限制/seeyon/目录的访问源IP
系统层加固：
# 设置web目录不可执行 chmod -R 750 /ApacheJetspeed/webapps/ # 禁用不必要的Servlet rm -f /seeyon/htmlofficeservlet.class监控增强：
- 部署文件完整性监控（FIM）工具
- 建立针对.jsp文件创建的实时告警
4. 事件复盘与改进措施
某制造业企业在遭遇实际攻击后，通过分析发现了自身防御体系的三个薄弱点：
- 日志收集不完整：缺少Tomcat catalina.out日志的集中存储
- 补丁管理滞后：漏洞披露三个月后仍未安装更新
- 横向移动检测缺失：内网主机间异常通信未被监控
改进后的安全架构增加了：
- 每日漏洞扫描自动化报告
- 关键系统文件的基线校验机制
- 网络微隔离策略的实施
在最近一次模拟攻击测试中，新体系成功将攻击驻留时间从原来的72小时缩短至23分钟。
