内容摘要：蓝凌OA的权限绕过漏洞，说白了就是攻击者不需要账号密码，直接构造一个特殊URL就能拿到系统管理员权限。这个漏洞在2023年被安全研究员公开后，立刻成了企业内网渗透的热门入口。 问题出在第三方插件接口上

蓝凌OA的蓝凌漏洞权限绕过漏洞，说白了就是权限攻击者不需要账号密码，直接构造一个特殊URL就能拿到系统管理员权限。绕过这个漏洞在2023年被安全研究员公开后，蓝凌漏洞立刻成了企业内网渗透的权限热门入口。

问题出在第三方插件接口上。绕过蓝凌OA为了扩展功能，蓝凌漏洞集成了一堆第三方组件，权限其中某个旧版插件在处理用户身份验证时，绕过只校验了session是蓝凌漏洞否存在，压根没校验这个session属于谁。权限攻击者只要往请求头里塞一个伪造的绕过session ID，后台就把你当成合法管理员放行了。蓝凌漏洞更离谱的权限是，这个漏洞利用起来不需要任何前置条件，绕过直接访问特定路径就行，连登录页面都不用碰。

我拿测试环境试过，整个过程不到十秒。构造一个包含恶意session的cookie，拼上目标系统的URL，回车，管理后台就敞开了。这时候你能干的事就多了——读取所有员工通讯录、下载OA里的合同附件、修改流程审批节点，甚至往系统里植入后门脚本。有个做等保测评的朋友跟我说，他们去年扫了上百家单位，凡是用了蓝凌OA且版本低于某个修复版的，几乎一打一个准。

这漏洞最恶心的地方在于，它藏得深。蓝凌OA本身的主程序写得还算规矩，但第三方插件目录下的文件往往没人审计。很多企业的运维人员只盯着官方公告打补丁，压根不知道第三方组件也要更新。等攻击者利用漏洞把数据库拖走了，日志里留下的痕迹还伪装成正常管理员操作，排查起来相当费劲。

修复方案倒不复杂。蓝凌官方在后续版本里给插件接口加上了严格的权限校验，要求必须同时验证session和用户角色。但问题在于，很多企业用的是定制化部署，改过源码，没法直接升级。我见过一家制造业客户，IT部门自己把插件路径给改了，结果漏洞倒是堵住了，但OA的移动审批功能全瘫了，折腾了三天才恢复。

给还在用蓝凌OA的提个醒：别只盯着官方更新公告，把系统里所有第三方插件的版本号列个清单，逐个查它们的漏洞库。如果实在没法升级，至少用防火墙规则把管理后台的访问IP限制死，再配上强密码策略。这漏洞已经公开一年多了，现在还在裸奔的系统，基本就是给攻击者送人头。