事件描述:
2015年6月23日，深信服全网威胁监测平台监测数据显示大量oa系统存在高危漏洞。其中包括泛微e_cology 协同办公平台、金和系统管理平台、华天动力协同办公平台和赛飞oa系统等多个 oa 办公系统。
如今办公自动化盛行，这些oa系统广泛应用于各大企业和政府单位，用户数量很大。办公oa系统中包含了企业的大量私密信息和员工资料，如果这些oa系统漏洞被黑客利用，导致信息资料的泄露，将会造成不可估量的后果。
专家解读:
这些oa系统大部分都存在sql注入漏洞和跨站脚本漏洞，主要原因是系统未对用户的输入进行严格的过滤，导致黑客通过参数传递引入一些非法字符对系统进行 sql注入 或 xss 注入。
所谓sql注入，就是攻击者通过在应用程序预先定义好的sql语句结尾加上额外的sql语句元素，欺骗数据库服务器执行非授权的查询,篡改命令。它能够轻易的绕过防火墙直接访问数据库，甚至能够获得数据库所在的服务器的系统权限。
xss注入是指攻击者在网页中嵌入客户端脚本(例如javascript), 当用户浏览此网页时，脚本就会在用户的浏览器上执行，从而达到攻击者的目的，比如获取用户的cookie、导航到恶意网站、携带木马等。
这两种漏洞都是web应用程序中常见的漏洞，黑客可以利用这些漏洞成功入侵攻击对象的网络并攻陷数据库，造成机密信息泄露、内部信息遭篡改等，危害极大。
深信服凯发登录的解决方案：
1、该漏洞的产生是因为oa系统没有对用户的输入进行严格过滤。建议严格过滤漏洞页面传递的参数中出现‘'’，‘/**/’，‘--’，‘<’等可能导致sql注入或xss注入的非法字符；<>
2、目前相关oa系统厂商针对这些漏洞还没有发布任何补丁和升级程序。建议使用受影响系统的用户随时关注相关厂商官方网站获取最新的补丁信息；
3、如果购买了深信服下一代防火墙，请升级 web应用防护特征库到20150612以后的版本。
4、如果未部署应用层防火墙，可拨打深信服咨询热线400-806-6868进行咨询，申请深信服的网站安全扫描服务或免费试用深信服下一代防火墙。