用友NC BeanShell远程代码执行漏洞复现

### 关于用友 NC 中 `bsh.servlet.BshServlet` 组件存在的 RCE 漏洞 #### 漏洞概述 用友 NC 的 `bsh.servlet.BshServlet` 组件存在远程命令执行 (Remote Code Execution, RCE) 漏洞。此漏洞允许未经身份验证的攻击者通过 BeanShell 测试接口直接执行任意命令，从而可能获取目标系统的管理权限[^1]。 #### 影响范围 受影响的产品版本包括但不限于特定版本的用友 NC 软件。当这些系统直接暴露在互联网上时，面临的风险显著增加[^3]。 #### 解决方案与缓解措施 ##### 1. 升级软件至最新版本 厂商通常会在新版本中修复已知的安全问题。因此建议立即升级到最新的稳定版用友 NC 应用程序，以确保所有已发布的补丁都已被应用。 ##### 2. 移除不必要的服务端点 对于不再使用的功能模块或测试接口，应当及时禁用或删除对应的 URL 映射路径。特别是像 `/webroot/decision/system/sysservlet/BshServlet` 这样的高危接口应被彻底移除[^2]。 ##### 3. 配置防火墙规则 在网络层面设置严格的访问控制策略，仅允许来自可信 IP 地址的数据包到达服务器上的 Web 应用程序。这可以有效阻止外部未授权用户的非法尝试。 ##### 4. 实施最小权限原则 调整应用程序配置文件中的参数设定，使得即使发生越权操作也无法造成严重后果。例如限制上传脚本的能力以及缩小 Java 反序列化白名单等。 ##### 5. 启用日志审计机制 开启详细的请求记录并定期审查异常活动模式；一旦发现可疑行为即刻采取行动防止潜在威胁扩散。 ```xml <!-- Example of disabling BshServlet in web.xml --> <servlet> <servlet-name>BshServlet</servlet-name> <servlet-class>bsh.servlet.BshServlet</servlet-class> <!-- Disable the servlet by commenting out or removing this section --> <!--<url-pattern>/bshservlet/*</url-pattern>--> </servlet> ```