【漏洞通告】OnlyOffice Server前台RCE漏洞细节披露分析~【附自查脚本】

#!/usr/bin/env bash# oo-emergency-check.sh# ONLYOFFICE Document Server 应急核查脚本（只读 / 无破坏 / 可重复执行）# 用法：#   ./oo-emergency-check.sh                  # 全量检查，文本报告#   ./oo-emergency-check.sh --json           # JSON 输出，供 SIEM/流水线采集#   ./oo-emergency-check.sh --baseline       # 建立 runtime.json 基线（hash+权限+属主）#   ./oo-emergency-check.sh --verify         # 对照基线做完整性校验#   ./oo-emergency-check.sh --quick          # 只做 T0 三项（适合批量巡检）# 注意：本脚本不修复、不删除任何文件；--suggest 仅打印建议命令，需人工确认后执行。set -euo pipefailexport LC_ALL=C# ---------- 可配置项 ----------RUNTIME_JSON="/var/www/onlyoffice/Data/runtime.json"LOG_DIR="/var/log/onlyoffice/documentserver"CACHE_DIR="/var/lib/onlyoffice/documentserver/App_Data/cache/files/data"TMP_DIRS="/tmp /var/tmp"DS_UID="105"DS_GID="107"BASELINE_FILE="/var/lib/onlyoffice/.oo-runtime-baseline"NGINX_CONF_DIR="/etc/onlyoffice/documentserver"SHELL_PATTERN='/bin/(ba)?sh|python[0-9.]*|busybox|nc|netcat|curl|wget|perl|ruby'HOURS_BACK=168        # 日志/文件回溯窗口（小时）# ---------- 全局状态 ----------MODE="full"; OUT="text"; FINDINGS=(); RC=0declare -A SCORE=( [crit]=0 [high]=0 [med]=0 [low]=0 )log_find() { local lvl="$1" msg="$2"; FINDINGS+=("${lvl}:${msg}"); echo "[${lvl}] ${msg}"; }bump() { ((SCORE[$1]++)) || true; case "$1" in crit) RC=3;; high) ((RC<3))&&RC=2;; med) ((RC<2))&&RC=1;; esac; }file_exists() { [[ -e "$1" ]] && echo "1" || echo "0"; }# ---------- T0-1：运行期配置是否被篡改（最高信度） ----------check_runtime_config() {  echo "=== [T0-1] 运行期配置核查 ==="  [[ $(file_exists "$RUNTIME_JSON") == "0" ]] && { log_find "INFO" "runtime.json 不存在（路径可能随版本变化），跳过"; return 0; }  # 1) 权限/属主异常：不应被服务账户以外的主体可写  local perm owner  perm=$(stat -c '%a' "$RUNTIME_JSON" 2>/dev/null || echo "?")  owner=$(stat -c '%U:%G' "$RUNTIME_JSON" 2>/dev/null || echo "?")  echo "  路径: $RUNTIME_JSON  权限: $perm  属主: $owner"  if [[ "$perm" =~ ^[0-7]*[2367]$ ]]; then    log_find "MED" "runtime.json 对其他/同组可写($perm)，易被自身服务账户或同组进程污染"; bump med  fi  # 2) 基线对照（如果存在）  if [[ -f "$BASELINE_FILE" ]]; then    local now hash_now    hash_now=$(sha256sum "$RUNTIME_JSON" | awk '{print $1}')    if ! grep -q "^$hash_now " "$BASELINE_FILE"; then      log_find "CRIT" "runtime.json 与基线不一致（hash=$hash_now），疑似被篡改！"; bump crit    else      echo "  完整性: 与基线一致 ✓"; fi  else    echo "  完整性: 无基线（先用 --baseline 建立）"; fi  # 3) 核心：x2tPath / args 是否指向 shell 类程序  if command -v jq &>/dev/null; then    local xp ar    xp=$(jq -r '..|.x2tPath?//empty' "$RUNTIME_JSON" 2>/dev/null | tr '\n' ' ')    ar=$(jq -r '..|.args?//empty' "$RUNTIME_JSON" 2>/dev/null | tr '\n' ' ')    echo "  x2tPath: ${xp:-(not found)}"    echo "  args   : ${ar:-(not found)}"    if echo "$xp" | grep -qiE "$SHELL_PATTERN"; then      log_find "CRIT" "x2tPath 指向 shell 类程序：${xp} —— 高度疑似已被利用（CNVD-2026-28199）"; bump crit    fi    if echo "$ar" | grep -qiE '(^|[[:space:]])-c[[:space:]]|/tmp/|bash -i|/dev/tcp|curl .*http|wget .*http'; then      log_find "CRIT" "converter args 含可疑载荷特征：${ar}"; bump crit    fi    # 4) 结构健康度：缺少关键段说明是被不完整覆写过    if ! jq -e '.FileConverter?' "$RUNTIME_JSON" &>/dev/null; then      log_find "HIGH" "runtime.json 缺失 FileConverter 段，疑似被不完整配置覆写"; bump high    fi  else    log_find "INFO" "缺少 jq，改用 grep 降级检测（可能漏报）"    if grep -qiE '"x2tPath"[[:space:]]*:[[:space:]]*"/bin/(sh|bash)"' "$RUNTIME_JSON"; then      log_find "CRIT" "x2tPath 疑似被改为 /bin/sh 或 /bin/bash"; bump crit    fi  fi}# ---------- T0-2：/info 是否暴露在公网/非本机 ----------check_info_exposure() {  echo; echo "=== [T0-2] /info 暴露面核查 ==="  # 反代/官方 nginx 配置中是否有允许 info 的痕迹  if [[ -d "$NGINX_CONF_DIR" ]]; then    if grep -rqE 'location\s+/info' "$NGINX_CONF_DIR" 2>/dev/null; then      log_find "HIGH" "nginx 存在 location /info 配置块，需确认是否被放开"; bump high    fi    if grep -rqE 'allow\s+(all|0\.0\.0\.0/0)' "$NGINX_CONF_DIR" 2>/dev/null; then      log_find "HIGH" "nginx 存在 allow all/0.0.0.0 宽松规则"; bump high    fi    if grep -rqE '#\s*allow\s+127\.0\.0\.1' "$NGINX_CONF_DIR" 2>/dev/null; then      log_find "MED" "发现被注释掉的 allow 127.0.0.1（常见于照做文档放开 info 页面）"; bump med    fi  else    echo "  nginx 配置目录不存在（可能是纯后端端口暴露场景），重点查端口监听"; fi  # 本机监听：8000 是否直接监听在非回环地址  if ss -lntp 2>/dev/null | grep -qE ':8000\b'; then    local bind    bind=$(ss -lntp 2>/dev/null | grep ':8000\b' | awk '{print $4}' | tr '\n' ' ')    echo "  8000 监听: $bind"    if echo "$bind" | grep -qvE '127\.0\.0\.1|::1'; then      log_find "CRIT" "DocService 内部端口 8000 监听在非回环地址，边界形同虚设"; bump crit    fi  fi}# ---------- T0-3：JWT / 示例页状态 ----------check_auth_hardening() {  echo; echo "=== [T0-3] 认证与示例页核查 ==="  local env_file=""  for p in /etc/onlyoffice/documentserver/local.json /app/ds/setup/config/local.json /var/www/onlyoffice/Data/local.json; do    [[ -f "$p" ]] && { env_file="$p"; break; }  done  if [[ -n "$env_file" ]] && command -v jq &>/dev/null; then    local jwt    jwt=$(jq -r '..|.jwt?.enabled?//empty' "$env_file" 2>/dev/null | head -1)    echo "  JWT enabled: ${jwt:-(unset)}"    [[ "$jwt" != "true" ]] && { log_find "HIGH" "JWT 未启用（$env_file），/info/config 等端点缺乏应用层鉴权"; bump high; }  else    echo "  未能定位 local.json，请手工确认 JWT_ENABLED / services.CoAuthoring.secret"; fi}# ---------- T1-1：异常产物（写入原语指纹） ----------check_artifacts() {  echo; echo "=== [T1-1] 异常文件产物（近 ${HOURS_BACK}h） ==="  local hits=0  for d in $TMP_DIRS "$CACHE_DIR"; do    [[ -d "$d" ]] || continue    echo "  扫描: $d"    while IFS= read -r f; do      [[ -z "$f" ]] && continue      ((hits++))      log_find "MED" "异常产物: $f"; bump med    done < <(find "$d" -maxdepth 3 -type f \( -name '*.txt' -o -name '*.sh' -o -name '*.py' -o -name 'pwn*' -o -name 'poc*' -o -name 'rce*' \) \                 -mmin -$((HOURS_BACK*60)) -ls 2>/dev/null | head -200)  done  ((hits==0)) && echo "  未发现可疑产物 ✓"}# ---------- T1-2：Shell 级报错日志（历史利用残留，极可靠） ----------check_logs() {  echo; echo "=== [T1-2] Converter 日志 Shell 报错特征 ==="  [[ -d "$LOG_DIR" ]] || { echo "  日志目录不存在: $LOG_DIR"; return 0; }  local n=0  for pat in 'missing file operand' 'command not found' "can't open" 'No such file or directory' '/bin/sh:' '/bin/bash:'; do    while IFS= read -r line; do      [[ -z "$line" ]] && continue      ((n++))      log_find "HIGH" "日志异常: $line"; bump high    done < <(grep -rhi --binary-files=text "$pat" "$LOG_DIR" 2>/dev/null | tail -50)  done  ((n==0)) && echo "  未发现 Shell 参数级报错 ✓"}# ---------- T1-3：ds 身份外连 ----------check_network() {  echo; echo "=== [T1-3] ds 账户进程与外连 ==="  if ps -u "$DS_UID" -o pid,comm,args --no-headers 2>/dev/null | grep -qiE 'sh|bash|python|curl|wget|nc|socat'; then    log_find "HIGH" "ds 账户下存在可疑进程"; bump high    ps -u "$DS_UID" -o pid,comm,args 2>/dev/null || true  else    echo "  ds 账户无可疑进程 ✓"; fi  if ss -antp 2>/dev/null | grep -qiE 'ESTAB.*ds|ESTAB.*(curl|wget|nc)'; then    log_find "HIGH" "发现可疑外连"; bump high  else    echo "  无可疑 ESTABLISHED 外连 ✓"; fi}# ---------- 基线 / 校验 ----------do_baseline() {  [[ $(file_exists "$RUNTIME_JSON") == "1" ]] || { echo "错误: $RUNTIME_JSON 不存在"; exit 2; }  sha256sum "$RUNTIME_JSON" > "$BASELINE_FILE"  stat -c '%a %U %G %s %Y' "$RUNTIME_JSON" >> "$BASELINE_FILE"  echo "基线已写入 $BASELINE_FILE"; echo "$(cat "$BASELINE_FILE")"}do_verify() {  [[ -f "$BASELINE_FILE" ]] || { echo "错误: 无基线，先执行 --baseline"; exit 2; }  echo "=== 基线完整性校验 ==="  local now; now=$(sha256sum "$RUNTIME_JSON" | awk '{print $1}')  if grep -q "^$now " "$BASELINE_FILE"; then echo "runtime.json: 一致 ✓"; else echo "runtime.json: 不一致 ✗（可能被篡改）"; RC=3; fi}# ---------- 汇总与建议 ----------print_summary() {  echo; echo "============================================"  echo "核查汇总  crit=${SCORE[crit]} high=${SCORE[high]} med=${SCORE[med]} low=${SCORE[low]}"  echo "============================================"  if ((SCORE[crit]>0)); then echo ">>> 结论：发现严重异常，请按『隔离→留证→还原配置→杀进程重载→清产物→封网关→再升级』顺序处置"; fi  echo; echo "建议命令（请人工确认后执行）:"  cat <<'EOF'  # 1) 留证  cp /var/www/onlyoffice/Data/runtime.json /var/www/onlyoffice/Data/runtime.json.$(date +%F%H%M%S).bak  # 2) 还原转换器配置（用备份或默认值），然后促其重载  supervisorctl restart ds:converter        # 或 kill converter 子进程  # 3) 封暴露面（nginx）  #    location /info { deny all; return 403; }  # 4) 建基线  ./oo-emergency-check.sh --baselineEOF}# ---------- 入口 ----------case "${1:-full}" in --baseline) do_baseline; exit 0;; --verify) do_verify; exit $RC;; --json) MODE="full";OUT="json";; --quick) MODE="quick";; esacecho "ONLYOFFICE Document Server 应急核查 | $(date) | host=$(hostname)"echo "================================================================"check_runtime_config[[ "$MODE" == "quick" ]] || { check_info_exposure; check_auth_hardening; check_artifacts; check_logs; check_network; }if [[ "$OUT" == "json" ]]; then  printf '{"ts":"%s","host":"%s","crit":%d,"high":%d,"med":%d,"findings":[', "$(date -Iseconds)" "$(hostname)" "${SCORE[crit]}" "${SCORE[high]}" "${SCORE[med]}"  first=1; for f in "${FINDINGS[@]}"; do ((first))||printf ','; first=0; printf '"%s"' "${f//\"/\\\"}"; done  printf ']}\n'; else print_summary; fiexit $RC

1.https://www.onlyoffice.com/2.https://mp.weixin.qq.com/s/6WztkNCmxPKKkriZVlj4qg