作系統類型

支持的操作系統

Windows（64位）

• Windows Server 2022

• Windows Server 2019

• Windows Server 2016

• Windows Server 2012

• Windows Server 2008

• Windows 11

• Windows 10

Linux（64位）

• Alibaba Cloud Linux

• AlmaLinux

• Anolis OS

• CentOS 6、7、8

• CentOS Stream

• Debian 8及以上版本

• Gentoo

• OpenSUSE

• RHEL 6、7、8、9

• Rocky Linux

• SUSE Linux Enterprise Server

• Ubuntu 14.04及以上版本

• 中標麒麟 V7、銀河麒麟V10

• TencentOS

• Oracle Linux 7、8、9

• openEuler 20.03、22.03

• EulerOS

• Amazon Linux 2、2023

攻擊類型

說明

防護建議

JNI注入

JNI注入是一種通用的RASP（Runtime Application Self-Protection）繞過手段。當攻擊者拿到代碼執行權限后，可以通過Java Native函數去調用外部的惡意動態鏈接庫，從而繞過Java層的安全防護，并隱匿具體的惡意行為。

您的服務器可能存在代碼執行漏洞，請檢查漏洞的位置并限制執行代碼的功能。

SQL注入

SQL注入手段通過把SQL命令插入到頁面請求或Web表單的查詢字符串中，以達到欺騙服務器執行指定SQL語句的目的。它可以通過在Web表單中輸入SQL語句，得到存在安全漏洞的網站上的數據。

SQL注入是由拼接SQL語句引起的。請盡可能使用預編譯來處理傳入的參數，或通過白名單和黑名單來限制參數的拼接。

XXE

指XML外部實體注入漏洞（XML External Entity Injection）。當XML文件在引用外部實體時，通過構造惡意內容，可以導致任意文件讀取，命令執行和內網攻擊等不良后果。

請檢查應用程序在解析XML時是否需要加載外部實體。如果不需要，請在XML解析配置中禁用外部實體。

惡意DNS查詢

惡意DNS查詢存在多種利用方式。攻擊者極有可能通過DNS協議來突破內網的網絡限制，從而將敏感信息帶出內網，也可能通過DNS協議去探測內網系統是否存在SSRF、JNDI注入等漏洞。

惡意DNS查詢是由服務器向用戶控制的參數發送請求所引起的。請檢查參數并通過白名單進行限制。

惡意反射調用

RASP自保護模塊，禁止攻擊者通過反射的方式去修改運行時RASP的相關數據。

您的服務器可能存在代碼執行漏洞。請檢查漏洞的位置并限制執行代碼的功能。

惡意外連

SSRF（Server-side request forgery）服務器端請求偽造漏洞指的是攻擊者通過構造由服務端發起的請求，對網站內部系統進行攻擊。

修復SSRF漏洞需要限制服務器請求的目標地址范圍，通過白名單機制只允許訪問安全的內部資源，并禁用不必要的外部網絡訪問。

惡意文件讀寫

Java提供RandomAccessFile，用于文件讀寫操作。當使用該Class進行文件讀寫的時候，如果未對文件路徑、文件內容進行限制，攻擊者可能讀取到系統敏感文件，也可能上傳木馬文件。

請檢查文件讀取和上傳是否正常。如果出現異常，請檢查函數代碼，并通過黑名單進行限制。

惡意文件上傳

對于網站提供的文件上傳功能，如果未對上傳文件的類型進行限制，攻擊者可能通過上傳木馬文件來獲取服務器的更大權限，從而造成嚴重危害。

請限制上傳文件的類型，禁止上傳具有執行權限的文件，如JSP。

命令執行

命令執行漏洞是指服務器沒有對執行的命令進行過濾，用戶可以隨意執行系統命令。

通常遠程命令執行是由Web Shell或服務器的危險代碼引起的。請檢查命令執行的位置。如果是Web Shell，請及時刪除。如果是服務器的正常功能，則可以通過白名單限制執行的命令。

目錄遍歷

網站自身的配置缺陷可能會使得網站目錄被任意瀏覽，導致隱私信息泄露。攻擊者可以利用該信息對網站進行攻擊。

請檢查目錄遍歷操作是否正常。如果異常，請檢查函數的代碼，并通過黑名單對相關命令（如“./”和“../”）進行限制。

內存馬注入

內存馬是一種新興的木馬技術，攻擊者通過一些特殊的技術手段將木馬注入到內存中，可以有效繞過WAF和主機防御的檢測。

您的服務器可能存在代碼執行漏洞。請檢查漏洞的位置并限制執行代碼的功能。

任意文件讀取

對于網站提供的文件下載和讀取功能，如果是直接通過絕對路徑或目錄穿越符對文件進行讀取和下載，沒有相關文件路徑的限制，那么攻擊者就可以利用這種方式獲取敏感信息，并對服務器進行攻擊。

請檢查文件讀取操作是否正常。如果異常，請檢查函數的代碼，并使用黑名單對傳入參數（如“./”和“../”）進行限制。

線程注入

線程注入是一種通用的RASP繞過手段。當攻擊者獲得代碼執行權限后，可以通過新建線程的方式使RASP丟失運行環境的上下文，從而影響RASP的防御能力。

您的服務器可能存在代碼執行漏洞。請檢查漏洞的位置并限制執行代碼的功能。

惡意Attach

Attach API是Java提供的動態修改字節碼技術，該功能可以實現動態修改運行時應用的字節碼。很多攻擊者通過該手法進行Agent型內存馬的注入，具有較高的欺騙性。

您的服務器可能存在代碼執行漏洞。請檢查漏洞的位置并限制執行代碼的功能。

JNDI注入

當應用進行JNDI查詢的時候，若查詢的URL可以由攻擊者控制，則攻擊者可以使用服務器去查詢惡意的鏈接，使得服務器加載一些惡意Class類，實現任意代碼執行。

• 若該漏洞源于第三方組件，請及時進行組件版本升級。

• 若為自寫JNDI查詢代碼，請對查詢的URL進行限制，禁止一些危險協議的查詢。

危險協議使用

若服務端進行訪問的URL用戶端可控，而應用本身又未對該URL的協議進行限制，那么攻擊者可能通過file、netdoc等危險協議對服務器上的敏感文件進行讀取。

請對URL可以訪問的協議進行限制。

反序列化攻擊

Java反序列是指把字符序列恢復為Java對象的過程，在對象生成過程中，若該對象包含一些危險度較高的代碼，則攻擊者可能通過控制生成對象的成員變量在對象進行反序列化的時候實現一些惡意攻擊。

• 及時升級存在漏洞的組件版本。

• 若官方還未提供漏洞修復的組件版本，請暫時關閉該功能。

任意文件刪除

對于網站提供的文件刪除功能，文件刪除的接口如果沒有對文件路徑進行限制，攻擊者就可以通過絕對路徑或目錄穿越符對任意文件進行刪除操作，從而對服務器進行攻擊。

請檢查文件刪除操作是否正常。如果異常，請檢查函數的代碼，并使用黑名單對傳入參數（如“./”和“../”）進行限制。

表達式注入

表達式組件提供了十分豐富的功能，支持在運行時查詢和處理數據等，但很多表達式組件也提供了函數調用等權限較高的功能，如果未對這些功能做限制，而攻擊者又能夠控制表達式執行的內容，那么攻擊者將很有可能通過表達式執行任意代碼。

請對進入表達式的內容進行嚴格限制，禁止大部分Java函數的調用。若是第三方組件漏洞導致，請及時升級組件版本。

引擎注入

Java提供了較多的第三方引擎組件（如Rhino、Nashorn等JS引擎，Velocity、FreeMarker等模板引擎），這些引擎通常提供了函數調用等權限較高的功能，如果對這些功能未作限制，而攻擊者又能夠控制引擎執行的內容，那么攻擊者將很有可能通過引擎執行任意代碼。

請對進入引擎文件的內容進行嚴格限制，禁止大部分Java函數的調用。若是第三方組件漏洞導致，請及時升級組件版本。

惡意Beans綁定

Java存在一些框架支持對應用運行時Beans的參數綁定，如果未對綁定Beans的類型進行限制，攻擊者就可以通過對一些敏感Beans值的修改，破壞應用的運行，甚至造成執行任意代碼。

請對可以綁定的Beans的類型進行限制，禁止對類似于Class、Classloader類型的Beans值進行修改。若是第三方組件漏洞導致，請及時升級組件版本。

惡意類加載

現階段，很多0day、WebShell的利用均依賴于惡意類的加載，一旦惡意類加載成功，攻擊者便可以通過惡意類的初始化來取得代碼執行權限，從而進行一系列的惡意操作。

• 若惡意類的加載是通過WebShell控制，請及時刪除WebShell。

• 如果惡意類的加載是框架導致，請及時升級框架版本。

JSTL任意文件包含

JSP標準標簽庫（JSTL）是一個JSP標簽集合，它封裝了JSP應用的通用核心功能。當用戶可控參數被直接拼接到JSTL標簽中而未對該參數進行任何限制的情況下，攻擊者可以構造特殊的攻擊腳本造成任意文件讀取、SSRF攻擊。

盡可能不要將用戶可控參數直接拼接到JSTL標簽上，如果必須這樣做，請對該參數的內容進行嚴格的白名單控制。

攻擊類型

說明

防護建議

惡意文件包含

PHP中的文件包含漏洞是一種常見的安全漏洞，它允許攻擊者通過操縱輸入來包含和執行任意文件。這種漏洞通常發生在使用include()、require()、include_once()和require_once()函數時，這些函數用于在腳本中包含其他文件。

建議驗證和限制用戶輸入的文件路徑，僅允許包含應用程序目錄中的預定義文件，以防止攻擊者插入惡意路徑。

惡意外連

SSRF（Server-side request forgery）服務器端請求偽造漏洞指的是攻擊者通過構造由服務端發起的請求，對網站內部系統進行攻擊。

修復SSRF漏洞需要限制服務器請求的目標地址范圍，通過白名單機制只允許訪問安全的內部資源，并禁用不必要的外部網絡訪問。

反序列化

PHP中的反序列化漏洞是一種嚴重的安全問題，它允許攻擊者通過操縱序列化數據來執行任意函數，這種漏洞通常發生在使用unserialize()函數時。

避免直接反序列化不可信數據，使用json_decode()或其他安全的替代方法，或者在必要時嚴格驗證和過濾反序列化的數據來源。

回調函數執行

回調函數是指PHP中的array_map()、array_filter()等函數，當它的參數外部可控，潛在的攻擊者就擁有了執行任意函數，乃至控制整個系統的能力。

為防止PHP中的回調函數被濫用，確保傳遞給array_map()、array_filter()等函數的回調函數名不受用戶輸入控制，并且所有允許使用的回調函數都應當通過白名單機制進行驗證。

惡意文件讀寫

當調用文件讀寫函數的時候，如果未對文件路徑、文件內容進行限制，攻擊者可能讀取到系統敏感文件，也可能上傳木馬文件。

為防止文件讀寫相關的安全漏洞，嚴格驗證和限制文件路徑，只允許訪問預定義的目錄，并對文件內容進行安全性檢查以防止惡意代碼上傳。

任意代碼執行

任意代碼執行漏洞是一種嚴重的安全漏洞，攻擊者可以通過這一漏洞在服務器上執行任意的代碼片段，從而獲取服務器的控制權限或讀取、修改敏感數據。這種漏洞通常源于程序未對用戶輸入進行充分驗證，導致攻擊者能夠注入惡意代碼。如果攻擊者成功利用此漏洞，可能導致數據泄露、網站被篡改或植入惡意軟件等。

建議使用嚴格的輸入驗證和輸出編碼，避免使用eval()、include()等函數直接處理用戶輸入，并保持所有庫和框架的安全更新。

任意文件讀取

如果沒有對文件讀取接口進行過濾和限制，攻擊者就可以利用絕對路徑或目錄穿越符對文件進行讀取和下載，從而獲取敏感信息，對服務器進行攻擊。

對文件讀取接口實施嚴格的輸入驗證和路徑限制，確保僅允許訪問經過白名單驗證的文件，并使用黑名單對傳入參數（如“./”和“../”）進行限制。

任意文件刪除

文件刪除的接口如果沒有相關文件路徑的限制，攻擊者就可以通過絕對路徑或目錄穿越符對文件進行任意刪除，對服務器進行攻擊。

對文件刪除接口實施嚴格的輸入驗證和路徑限制，確保僅允許刪除經過驗證的文件，并使用黑名單對傳入參數（如“./”和“../”）進行限制。

命令執行

命令執行漏洞可以讓攻擊者直接向后臺服務器遠程注入操作系統命令或者代碼，從而控制后臺系統。

對所有用戶輸入進行嚴格的驗證和過濾，避免直接使用未經處理的輸入構建操作系統命令，并盡可能使用安全的API替代系統命令執行。

目錄遍歷

網站自身的配置缺陷可能會使得網站目錄被任意瀏覽，導致隱私信息泄露。攻擊者可以利用該信息對網站進行攻擊。

通過配置適當的服務器權限設置和使用.htaccess等文件限制目錄訪問，確保敏感目錄不可被未經授權的用戶瀏覽。

惡意文件上傳

文件上傳功能如果未對上傳文件的類型進行限制，攻擊者可能通過上傳木馬文件來獲取服務器的更大權限，從而造成嚴重危害。

對上傳文件的類型進行嚴格限制和驗證，只允許安全的文件類型，禁止上傳具有執行權限的文件后綴，如php等，并在服務器端重新檢查文件內容以確保其安全。

弱點類型

風險等級

說明

修復建議

不安全的Fastjson配置

高危

應用的Fastjson開啟了反序列化功能，該功能可能被攻擊者利用，造成遠程命令執行。如非必要，請關閉該功能。

請將Fastjson的safemode設置為true，或將autotype設置為false。

不安全的log4j配置

高危

您的log4j組件開啟了lookup功能，攻擊者可能通過該功能進行JNDI注入，從而造成遠程代碼執行漏洞。

請升級log4j到最新版本，或刪除Jar包中的org/apache/logging/log4j/core/lookup/JndiLookup.class文件。更多信息，請參見Apache Log4j2 遠程代碼執行漏洞（CVE-2021-44228）。

不安全的啟動參數

高危

當攻擊者可以訪問到JDWP調試端口的時候，可以通過該功能執行任意代碼，造成遠程代碼執行。

如無特殊場景，請及時關閉JDWP端口或者避免將JDWP端口暴露在公網，謹防長期運行的應用開啟了JDWP端口。

Shiro弱密鑰

高危

Shiro應用使用了較弱的加密密鑰，攻擊者可能通過破解密鑰，進一步進行反序列化攻擊，從而造成遠程代碼執行。

請及時修改應用中的Shiro加密密鑰。

不安全的JMX配置

中危

開啟了JMX的遠程鏈接，且在認證方面存在風險，攻擊者可能會遠程連接應用的JMX服務并造成命令執行風險。

請關閉JMX服務的遠程連接，或者請使用較為安全的認證口令。

不安全的Rhino配置

中危

Rhino框架中包含了危險的properties，攻擊者可能通過這些properties進行遠程代碼執行攻擊。

先升級rhnio到最新版本，然后使用SafeStandardObjects定義rhino的上下文，防止JavaScript引擎調用Java代碼。

下面是使用SafeStandardObjects定義Rhino上下文的示例：

 Context ctx = Context.enter();
// Scriptable scope = ctx.initStandardObjects(); // 不安全的寫法
 Scriptable scope = ctx.initSafeStandardObjects(); // 安全寫法
 ctx.setOptimizationLevel(-1);
 String str = "var test={};";
 str += "test.call=function(){return 'Successful!';};";
 str += "java.lang.System.out.println(test.call())";
 try {
 //傳入并執行javascript代碼
 ctx.evaluateString(scope, str, "", 1, null);
 } catch (Exception e) {
 e.printStackTrace();
 } finally {
 Context.exit();
 }

不安全的Spring配置

中危

Spring Actuator模塊開啟了部分端點：heapDump、env、restart、refresh、trace、jolokia、h2-console等，可能造成敏感信息泄露或者遠程代碼執行漏洞。

如無特殊場景，請關閉對應功能。

脆弱的登錄憑證

中危

應用在登錄口令安全性較弱，攻擊者可能通過爆破弱口令登錄您的系統，從而獲取敏感信息甚至服務器權限。

請及時修改該應用的密碼為復雜密碼。

不安全的JNDI配置

低危

您的應用存在不安全的useCodebaseOnly/rmi-trustURLCodebase/ldap-trustURLCodebase參數設置，可能存在JNDI注入風險。

請將JDK升級到最新版本，如果無法升級，在應用啟動時候添加啟動參數：

-Djava.rmi.server.useCodebaseOnly=true -Dcom.sun.jndi.rmi.object.trustURLCodebase=false -Dcom.sun.jndi.ldap.object.trustURLCodebase=false

不安全的XML實體配置

低危

XML解析外部實體功能已開啟，這可能導致您的應用遭受XXE攻擊。

如果無特殊場景，請勿使用外部實體。

數據庫弱口令

低危

應用連接數據庫時使用弱口令，攻擊者可能通過該弱口令連接您的數據庫造成敏感信息泄露或遠程命令執行。

請及時更改應用連接數據庫的密碼為復雜密碼。