从一次应急响应看致远OA wpsAssistServlet漏洞：攻击者如何利用，我们又该如何溯源与加固？

企业级致远OA安全事件深度剖析从漏洞利用到防御体系构建凌晨3点17分安全运维工程师小李的手机突然响起刺耳的告警声——公司核心业务区的致远OA服务器触发了异常文件上传行为告警。当他远程连接到安全分析平台时发现攻击者已经通过wpsAssistServlet接口上传了Webshell并开始尝试内网扫描。这个虚构但典型的安全事件揭示了企业协同办公系统面临的真实威胁。本文将基于此类事件的完整生命周期剖析漏洞原理、攻击者行为特征并提供可落地的防御方案。1. wpsAssistServlet漏洞技术原理与攻击链还原1.1 漏洞形成机制解析致远OA的wpsAssistServlet接口原本设计用于处理文档在线协作请求但其文件上传功能存在三处关键缺陷路径遍历缺陷未对realFileType参数中的../进行过滤导致攻击者可以突破web目录限制文件类型校验缺失仅检查Content-Type头未验证文件实际内容权限控制失效接口未实施身份验证允许匿名访问典型攻击请求包中的关键恶意构造如下POST /seeyon/wpsAssistServlet?flagsaverealFileType../../../../webapps/ROOT/shell.jspfileId2 HTTP/1.1 Host: vulnerable-host Content-Type: multipart/form-data; boundaryABCDEF --ABCDEF Content-Disposition: form-data; nameupload; filenametest.txt Content-Type: text/plain %page importjava.util.*,java.io.*% % if (request.getParameter(cmd) ! null) { Process p Runtime.getRuntime().exec(request.getParameter(cmd)); // ... webshell代码 } % --ABCDEF--1.2 攻击者行为模式分析通过分析上百起同类事件攻击者通常遵循以下操作流程攻击阶段典型行为取证关键点初始入侵批量扫描互联网暴露的致远OA系统Web日志中的大量404试探请求漏洞利用上传多种格式的Webshelljsp、jspx异常POST请求文件创建日志权限维持安装持久化后门、创建计划任务系统日志中的可疑进程创建记录横向移动使用Mimikatz等工具获取域控权限网络设备日志中的异常连接取证提示攻击者常会先上传测试文件如txt验证漏洞再部署真实Webshell这为防御方提供了检测时间窗口2. 入侵痕迹发现与取证技术实践2.1 Web服务器日志关键特征提取在Apache Tomcat的access_log中攻击行为会留下明显痕迹请求路径特征高频出现的/seeyon/wpsAssistServlet接口调用包含../../../../等路径遍历字符串的URL参数时间分布异常# 统计可疑时段请求频率 cat access_log | grep wpsAssistServlet | awk -F: {print $2} | sort | uniq -c | sort -nrUser-Agent异常使用默认Python-urllib/3.10等脚本特征明显伪造的浏览器标识2.2 文件系统取证技巧使用以下命令快速定位被篡改文件# 查找最近3天被修改的jsp文件 find /path/to/tomcat/webapps -name *.jsp -mtime -3 -ls # 对比官方文件哈希值 md5sum /path/to/seeyon/wpsAssistServlet.class常见恶意文件藏匿位置webapps/ROOT/下的非常规jsp文件WEB-INF/classes/中的恶意class文件/tmp/目录下的可疑脚本3. 企业级防御方案设计与实施3.1 紧急缓解措施若发现系统已遭入侵应立即执行网络隔离将受影响服务器移出核心网络区域防火墙阻断出向连接攻击者常建立C2通道漏洞临时修复!-- 在web.xml中添加访问限制 -- security-constraint web-resource-collection url-pattern/seeyon/wpsAssistServlet/url-pattern /web-resource-collection auth-constraint role-nameadmin/role-name /auth-constraint /security-constraint凭证重置域管理员账户数据库连接凭据OA系统后台密码3.2 长期加固策略构建纵深防御体系网络层防护部署WAF规则拦截路径遍历攻击SecRule ARGS contains ../ id:10001,deny,msg:Path Traversal Attempt限制OA系统仅允许内网访问主机层防护实施文件完整性监控FIM禁用Tomcat默认管理接口定期更新JRE安全补丁应用层防护// 示例安全的文件上传校验逻辑 public void uploadFile(HttpServletRequest request) { String fileName request.getParameter(filename); if (fileName.contains(../) || !fileName.endsWith(.doc)) { throw new SecurityException(Invalid file name); } // ... 其他校验逻辑 }4. 安全监控体系优化建议4.1 关键日志监控项配置在SIEM系统中应配置以下检测规则漏洞利用检测单IP对wpsAssistServlet的高频访问请求参数中包含../序列后门活动检测Web目录下新增可执行文件异常进程创建如cmd.exe执行powershell横向移动检测内部服务器尝试连接域控异常Kerberos票据请求4.2 红蓝对抗演练方案定期通过模拟攻击验证防御有效性攻击模拟# 漏洞验证脚本示例仅用于授权测试 import requests url http://target/seeyon/wpsAssistServlet headers {Content-Type: multipart/form-data} data --TEST\r\nContent-Disposition: form-data...\r\n response requests.post(url, headersheaders, datadata)防御验证检测WAF是否拦截测试请求确认SIEM生成相应告警检查EDR是否阻断恶意进程在一次为客户实施的加固项目中我们发现尽管已经安装了官方补丁但由于历史版本残留文件未清理系统仍存在被利用的风险。这提醒我们补丁管理必须与配置加固相结合才能形成完整防护。