本文仅用于安全学习、靶场复现与授权测试场景，重点关注漏洞原理、检测思路和修复建议。

常见企业系统与 Web 漏洞分析学习记录

1. 学习目标

结合本周安全日志分析、网络安全检查资料和渗透测试报告，建立“系统识别—攻击面分析—漏洞验证—风险处置”的基础工作框架，提升对常见企业系统和 Web 组件安全风险的理解。

2. 系统与攻击面分析

系统/组件	主要业务或技术用途	重点关注的安全面
OA/ERP	流程审批、财务、采购、库存和人事管理	身份认证、权限控制、文件上传、接口访问
Tomcat/Struts/Solr	Java Web 应用运行、请求处理和搜索服务	组件版本、管理端口、反序列化、文件读取
vLLM 大模型 API	模型信息查询和推理接口	API 认证、访问控制、调用频率、错误回显
SSH/FTP	远程管理和文件传输	弱口令、暴力破解、明文传输、暴露面
WAF	检测和拦截恶意 HTTP 请求	规则覆盖、误报漏报、日志留存、绕过风险

从项目材料看，系统风险并不只来自单一漏洞，还可能由公网暴露、默认配置、弱口令、权限边界不清和错误信息回显等问题叠加形成。

3. 重点漏洞及验证思路

3.1 未授权访问

重点确认未携带有效 Cookie、Token 或 API Key 时，是否仍可访问模型信息、管理页面或业务数据。验证时应记录请求是否经过认证、返回状态码、返回数据范围及是否存在权限绕过。

3.2 弱口令与暴力破解

通过检查认证失败次数、来源地址、时间分布和账号规律，区分正常输错密码与批量尝试。整改重点包括复杂口令、多因素认证、登录失败锁定、来源限制和审计告警。

3.3 组件漏洞与反序列化

不能仅凭组件指纹认定存在漏洞，需要进一步核对组件版本、受影响范围、请求特征及验证结果。对反序列化类告警，应重点检查请求体或参数中是否存在序列化数据，并结合响应异常、回连和日志证据判断是否真正触发。

3.4 敏感信息泄露

重点检查异常响应中是否暴露服务器绝对路径、组件版本、代码文件名、函数名、堆栈信息和内部接口结构。生产环境应返回统一错误信息，详细异常仅写入受控日志。

4. 防护与处置原则

1. 非必要不将管理端口和内部 API 暴露到公网。
2. 对系统、框架和中间件建立版本台账，及时完成补丁升级。
3. 在网关、WAF 或防火墙层限制来源地址、请求方法和访问路径。
4. 对高危接口实施身份认证、最小权限、频率限制和并发控制。
5. 保留原始日志、请求响应和验证截图，确保结论可复核。

5. 学习成果

本次学习将课程中的漏洞概念与项目中的系统、接口和日志字段进行了对应，初步掌握了从资产和组件识别到风险判断、证据留存及整改建议输出的分析方法。