OA 协同办公系统被勒索病毒加密

OA 有一个和 ERP 不同的风险特征：它几乎一定对互联网开放。为了让员工出差、在家也能审批，OA 门户通常直接发布到公网，这让它成为暴露面最大的业务系统之一，也成为攻击者进入内网的常用跳板。

公开资料显示，主流 OA 产品历史上都出现过高危漏洞并被广泛利用：泛微 e-ecology 曾被 CNCERT 通报存在前台 SQL 注入漏洞（攻击者可未授权获取数据库敏感信息），其 BeanShell 组件也存在未授权访问导致的远程命令执行问题，另有页面文件上传与数据库配置泄露类漏洞；致远 OA 也被公开记录存在 session 泄露、多处 SQL 注入、未授权访问、任意密码修改与组件 XXE 等问题。这些漏洞的共同点是无需登录即可利用，因此长期被扫描器批量探测。

风险层次：

• 业务中断。 公文、审批、用印、合同归档、报销流程全部停摆，影响范围覆盖全员，管理层感知极强。
• 横向扩散的起点。 OA 服务器通常在内网有较宽的可达性，且常与域集成。攻击者拿到 OA 服务器权限后，往往以此为跳板向文件服务器、ERP、数据库、域控扩散——处置 OA 事件时必须同步排查内网横向。
• 数据敏感性高。 人事档案、薪酬、合同、招投标文件、会议纪要都在 OA 里，一旦被窃取，涉及个人信息与商业秘密，需要同步评估通报义务。

常见误操作：直接重装 OA 覆盖原目录、把被加密的附件目录删掉腾空间、只恢复数据库不管附件、未做横向排查就急着恢复上线。我们不建议支付赎金，也不提供代谈判服务。

• 重新审视 OA 是否必须发布到公网。 优先改为 VPN 或零信任网关接入；确需公网发布时前置 WAF、隐藏或限制管理后台路径、关闭测试与调试接口。
• OA 与中间件补丁必须跟上。 公开资料显示泛微、致远等主流 OA 产品历史上存在可未授权利用的 SQL 注入、命令执行、文件上传与配置泄露类高危漏洞，且长期被批量扫描；建立版本台账并关注厂商公告与 CNVD / CNNVD 通报。
• OA 服务器做网络分段。 不要让 OA 服务器能直连数据库集群、域控与核心业务网段；按最小必要开放端口，出向流量也要限制。
• 不要用域管理员运行 OA 服务。 服务账号最小权限，OA 数据库使用专用账号；避免 OA 沦陷直接带走域凭据。
• 上传目录禁止执行 + webshell 检测。 对附件与上传路径关闭脚本解析，定期比对站点目录文件清单，对新增 jsp / aspx 文件告警。
• 备份要包含附件与配置。 数据库备份之外，附件目录、流程模板与表单设计、集成配置都要备份，并保留一份离线或不可变副本；附件目录体积大，建议用增量 + 定期全量策略。
• 强化认证。 OA 登录开启多因素认证或短信 / 令牌验证，禁用默认与测试账号，离职账号及时清理，开启异常登录告警。
• EDR 覆盖 OA 服务器并监控横向行为，对新增服务、计划任务、异常内网扫描与 SMB 连接告警——OA 是常见跳板，早发现能阻断扩散。