OA 系统防护与渗透测试（上）-平芜编程栈

一、简述

OA（Office Automation，办公自动化）系统是企业内部核心的协同办公平台，承载着流程审批、文档存储、人员信息、财务数据等敏感内容，同时也是内网渗透测试的高价值目标。

二、OA 系统的核心安全风险

OA 系统的风险主要源于自身漏洞、配置不当、权限管理薄弱、第三方组件缺陷四个方面，具体如下：

通用漏洞风险
- 未授权访问：部分 OA 系统的后台管理页面、接口未做严格鉴权，攻击者可直接访问敏感功能（如用户列表导出、权限分配）。
- 弱口令 / 默认口令：管理员或普通用户使用admin/admin、123456等弱口令，或系统保留默认厂商账号（如test/test），易被暴力破解。
- 文件上传漏洞：流程附件上传、头像上传等功能未做严格校验，攻击者可上传 webshell，直接控制服务器。
- SQL 注入：用户登录、搜索、数据查询等功能的参数未过滤，可通过注入获取数据库中的账号密码、企业数据。
配置与权限风险
- 权限越权：普通用户可通过修改请求参数（如user_id=1改为user_id=0）访问管理员数据；低权限账号可审批高权限流程。
- 敏感信息泄露：错误页面暴露系统版本、数据库类型、路径信息；日志文件未脱敏，包含账号密码、API 密钥。
- 会话管理缺陷：Session 未设置超时时间、Cookie 未加HttpOnly/Secure属性，易被会话劫持。
第三方组件风险OA 系统常集成 JDK、Tomcat、MySQL、FastJSON 等组件，这些组件的漏洞（如 Log4j2 远程代码执行、FastJSON 反序列化）可被直接利用，无需针对 OA 自身漏洞。
运维管理风险
- 系统未及时更新补丁，厂商发布的安全更新未部署；
- 数据库未做备份，或备份文件存储在服务器公开目录；
- 测试环境与生产环境连通，测试环境的弱口令被带入生产。

三、OA 系统安全防护实操方案

防护需遵循纵深防御原则，从网络层、应用层、数据层、运维层四层构建防护体系，每个层面均有具体可落地的措施。

1. 网络层防护：隔离访问边界

防护措施	具体操作
网络分区隔离	将 OA 系统部署在内网办公区，与外网、服务器区通过防火墙隔离；禁止 OA 服务器直接访问公网。
访问控制策略	配置防火墙规则，仅允许企业内网 IP 段访问 OA 系统；后台管理页面（如`/admin`）仅允许管理员 IP 访问。
VPN 远程访问	员工远程办公需通过 VPN 连接内网，禁止 OA 系统直接暴露公网；VPN 需开启双因素认证（2FA）。
流量监控	部署 IDS/IPS 设备，监控 OA 系统的异常流量（如大量登录失败请求、SQL 注入特征流量）。

2. 应用层防护：加固系统自身

（1）漏洞修复与版本管理

定期漏洞扫描：使用 AWVS、Nessus 等工具扫描 OA 系统，重点检测文件上传、SQL 注入、未授权访问等漏洞；
及时更新补丁：关注 OA 厂商（如泛微、致远、蓝凌）的安全公告，第一时间部署补丁；同时更新底层组件（JDK、Tomcat、MySQL）的安全补丁；
禁用无用功能：关闭 OA 系统的测试接口、调试模式、默认账号；禁用不必要的文件上传功能（如非必需的头像上传）。

（2）权限与会话管理加固

最小权限原则：为用户分配仅满足工作需求的权限，普通用户无查看 / 导出用户列表、修改流程的权限；
强口令策略：强制设置复杂度密码（长度≥8 位，包含大小写字母、数字、特殊字符），并定期更换；禁止使用默认口令；
会话安全配置：设置 Session 超时时间（如 30 分钟无操作自动登出）；Cookie 添加HttpOnly/Secure/SameSite属性；
双因素认证（2FA）：管理员登录后台必须开启 2FA（如短信验证码、谷歌验证器），防止弱口令被破解后直接入侵。

（3）输入输出校验

输入过滤：对所有用户输入参数（如登录账号、搜索关键词、上传文件名）进行过滤，禁止特殊字符（如'、"、;、<、>）；
文件上传校验：
1. 白名单限制文件类型（仅允许doc、docx、pdf等），禁止jsp、php、asp等脚本文件；
2. 校验文件头（如doc文件头为D0 CF 11 E0），防止修改后缀名绕过；
3. 上传文件存储在非 Web 目录，或重命名为随机字符串（如20240520_12345.pdf），避免直接访问。
输出编码：对页面输出的用户数据进行 HTML 编码，防止 XSS 攻击。

3. 数据层防护：保护敏感数据

数据加密存储：数据库中的用户密码使用bcrypt/PBKDF2算法加盐哈希存储，禁止明文；敏感数据（如财务数据、人员身份证号）使用 AES 算法加密存储。
数据库访问控制：OA 系统使用的数据库账号仅分配最小权限（如SELECT/INSERT，禁止DROP/ALTER）；禁止使用root账号连接数据库。
敏感数据脱敏：页面展示时，对身份证号、手机号脱敏（如138****1234）；日志文件中禁止记录明文密码、Token。
定期数据备份：每日备份数据库和配置文件，备份文件存储在离线设备或加密云盘，定期测试恢复流程。