若依（RuoYi）后台管理系统这两年被翻出来的若依漏洞，数量已经多到让不少中小企业的后台运维头疼。我最早注意到这个问题，管理是系统去年帮一家做仓储的朋友排查服务器异常——他的管理后台被人登录了，操作日志里多出一堆陌生IP。漏洞查下来，若依根因就是后台若依某个版本里默认开启的定时任务功能，被攻击者直接拿来执行任意命令。管理

若依本身是系统个不错的国产开源框架，基于Spring Boot，漏洞权限、若依菜单、后台代码生成这些模块开箱即用，管理很多外包团队拿它当基座快速交付。系统问题恰恰出在“开箱即用”这四个字上。漏洞默认配置为了图方便，留了不少口子。

定时任务那块最要命

若依的ruoyi-quartz模块允许在后台界面里直接写cron表达式和调用目标字符串。调用目标字符串这个设计，本意是让你填Bean名和方法名，比如ryTask.ryParams('test')。但如果你填的是java.lang.Runtime.getRuntime().exec(...)这类东西，某些版本没有做白名单过滤，就直接反射执行了。攻击者拿到后台入口后，不需要服务器权限，在网页上就能弹shell。

我见过一个真实案例：某公司的若依后台暴露在公网，管理员密码是admin123，攻击者用默认口令进去，新建一个定时任务，目标字符串填的是下载远程脚本并执行的命令，几分钟后服务器就被装了挖矿程序。整个过程没有任何技术门槛。

默认口令和未授权接口是另一条路

若依的默认账号admin/admin123在官方文档里就写着，很多部署的人根本不改。更麻烦的是，部分接口在未登录状态下也能访问。比如/common/download/resource?resource=这个路径，早期版本存在路径穿越，能读取服务器上的任意文件。攻击者可以先读application.yml拿到数据库密码，再读/etc/shadow碰运气。

还有个细节：若依的Druid监控页面默认路径是/druid/index.html，如果没配访问控制，SQL监控、URI监控全暴露。我曾在一次渗透测试里，通过Druid页面直接看到某个若依系统的数据库连接串，连密码都是明文。

为什么这些漏洞反复出现

若依的版本迭代不算慢，官方也发了安全公告。但大量存量系统用的是老版本，部署的人只管功能跑通，不看安全配置。外包项目交付后，甲方没有安全团队，乙方拿钱走人。一个漏洞补丁从发布到实际覆盖，中间隔着无数个“能用就行”的服务器。

我的判断是：如果你正在用若依，至少做三件事。第一，把默认口令全改掉，包括数据库、Redis、后台管理员。第二，关掉不需要的模块，定时任务如果业务用不上，直接不启动。第三，把Druid监控和Swagger接口文档加上IP白名单或登录拦截。这些操作花不了半小时，但能挡掉大部分自动化扫描工具。

安全这件事，在若依这类快速开发框架上，往往不是技术问题，而是态度问题。框架给了你便利，也给了你一堆默认打开的窗。关不关，看你自己。