用友GRP-U8R10解决方案的手动加固方法是什么？

用友 GRP-U8 R10 WSDL 接口未授权访问漏洞

手动加固完整操作方法（无补丁、纯配置整改、可直接上交）

一、漏洞原理

GRP-U8 R10 默认 /services/*?wsdl WebService 接口无鉴权、无 IP 限制、匿名可直接访问，导致接口信息泄露、可被恶意调用，属于高危未授权访问漏洞。

二、手动加固四大核心操作（按顺序操作）

操作 1：关闭 WSDL 匿名访问（修改 web.xml）

1. 停止 Tomcat、U8R10 应用服务
2. 进入安装目录：

plaintext

Tomcat\webapps\grp\WEB-INF\web.xml

3. 编辑 web.xml，新增安全拦截配置，禁止匿名访问 /services 目录：

xml

<security-constraint>
    <web-resource-collection>
        <web-resource-name>WsdlLimit</web-resource-name>
        <url-pattern>/services/*</url-pattern>
    </web-resource-collection>
    <auth-constraint/>
</security-constraint>

4. 禁止外部访问 ?wsdl 资源，限制 WebService 暴露。

操作 2：配置 IP 白名单，只允许内网访问

修改 Tomcat 访问限制，只放行财务内网、服务器本机 IP：

1. 打开：Tomcat/conf/context.xml
2. 增加 IP 访问过滤，仅信任网段：

xml

<Valve className="org.apache.catalina.valves.RemoteAddrValve"
allow="127.0.0.1,192.168.*,10.*"
deny="*"/>

• 只允许本机 + 内网网段访问接口
• 外网、陌生 IP 直接拦截 403

操作 3：禁用无用 WebService、关闭接口目录浏览

1. 编辑 web.xml 加入配置，关闭目录浏览：

xml

<init-param>
    <param-name>listings</param-name>
    <param-value>false</param-value>
</init-param>

2. 停用系统闲置、不用的第三方服务接口，删除无用 services 路由；
3. 关闭 Tomcat 默认控制台、管理页面弱口令访问。

操作 4：防火墙 / 端口策略加固

1. 服务器防火墙限制：

• 仅开放业务必要端口
• 禁止外网访问 80、8080、8443 等 Web 端口

2. 局域网交换机做访问控制，禁止非业务终端访问 U8R10 服务器；
3. 不对外映射 U8 系统端口，杜绝公网暴露。

三、服务重启与验证

1. 保存所有配置文件；
2. 重启 Tomcat 服务 → 用友 GRP-U8 R10 应用服务；
3. 复测检验：

• 浏览器访问：http://IP:端口/grp/services/xxx?wsdl
• 正常结果：403 禁止访问 / 无权访问 / 无法打开
• 内网业务、系统登录、凭证、预算、报表全部正常使用，不影响业务。

四、补充临时应急方案（快速整改）

若暂时不能改配置，可临时应急：

1. 利用服务器防火墙，直接拦截 /services 路径访问；
2. 通过安全组策略，阻断所有非信任 IP 访问 U8 接口；
3. 定期巡检接口访问日志，排查异常恶意访问记录。

五、加固结论

通过 web.xml 权限限制 + IP 白名单 + 目录访问禁用 + 端口防火墙管控 四重手动加固，彻底解决：WSDL 接口未授权访问、匿名接口泄露、越权调用风险，完全满足等保测评、漏洞扫描整改要求，无需打补丁、不影响原有业务。