企业IT必看：蓝凌OA最新syszonepersoninfo漏洞防护指南（附WAF规则）

最新推荐文章于 2026-06-24 16:51:18 发布

原创

最新推荐文章于 2026-06-24 16:51:18 发布 · 621 阅读

企业IT必看：蓝凌OA最新syszonepersoninfo漏洞防护指南（附WAF规则）

最近在帮几个客户做安全巡检的时候，发现一个挺有意思的现象：不少企业还在用着老版本的蓝凌OA系统，而且很多运维同事对系统里那些隐藏的接口风险点并不太清楚。其中，syszonepersoninfo这个接口的信息泄露问题，我在三个不同的客户环境里都碰到了，而且无一例外，都是因为默认配置没改，直接暴露在了公网上。

这个漏洞说大不大，说小也不小。它不像SQL注入那样能直接拿shell，但泄露出来的用户信息、组织架构数据，对于攻击者来说，就是下一步攻击的绝佳跳板。想象一下，攻击者手里有了一份你们公司完整的部门人员名单，甚至包括一些岗位信息，他发起钓鱼邮件或者社工攻击的成功率会高多少？更别提有些配置不当的系统，可能还会带出更多敏感字段。

所以今天这篇东西，不是那种照搬漏洞公告的八股文。我想结合自己实际处理过的案例，从漏洞原理、风险量化、到具体的防护配置，给各位企业运维和安全岗的兄弟，提供一套能立刻上手的防御方案。特别是最后一部分的WAF规则，我调试过好几个版本，应该能帮你们省下不少折腾的时间。

1. 漏洞深度剖析：不只是“信息泄露”那么简单

很多人一看到“信息泄露”四个字，可能就觉得危害等级一般，优先级往后排排。但syszonepersoninfo这个口子，泄露的东西远比你想象的多。

这个接口本质上是蓝凌OA系统用于查询人员信息的一个服务端点。在设计上，它可能服务于前端的通讯录、人员选择器等组件。问题出在，部分版本（尤其是某些历史版本）的该接口缺乏有效的访问控制。也就是说，不需要登录会话，不需要任何令牌，直接一个HTTP请求过去，它就把数据给你返回来了。

我抓过一个实际泄露的数据包，返回的JSON结构大致是这样的：

{
  "total": 150,
  "rows": [
    {
      "fdId": "xxxx",
      "fdLoginName": "zhangsan",
      "fdName": "张三",
      "fdEmail": "zhangsan@company.com",
      "fdMobileNo": "13800138000",
      "fdDepartment": "技术研发中心",
      "fdPost": "高级工程师",
      "fdIsAvailable": "1"
    },
    // ... 更多人员记录
  ]
}

注意：不同版本和配置的蓝凌OA，返回的字段可能有所不同。但fdLoginName（登录名）、fdName（姓名）、fdDepartment（部门）这几个核心字段几乎总是存在。这就已经构成了内部组织架构的完整映射。

攻击者利用这个漏洞的成本极低。工具化程度非常高，在GitHub上就能找到现成的POC脚本，或者直接用nuclei这类扫描器批量检测。请求包也非常简单，就是一个标准的GET请求：

GET /sys/zone/sys_zone_personInfo/sysZonePersonInfo.do?.js?&method=searchPerson&orderby&ordertype=up&rowsize=500&s_ajax=true HTTP/1.1
Host: target-oa.company.com
User-Agent: Mozilla/5.0

关键在于s_ajax=true这个参数，它通常指示接口返回JSON格式的数据。攻击者可以轻易地通过修改rowsize参数（比如改成5000）来尝试获取更多记录。

这个漏洞的真正风险链是这样的：