先确认是否真被攻击：4类典型现象速判
不要将性能卡顿、登录超时或单模块报错直接等同于‘被攻击’。需结合系统日志、网络行为与业务影响综合判断。以下4类现象同时出现2项以上，应启动安全应急流程：
- 异常进程持续占用CPU＞90%且进程名非常规（如 svchost.exe 启动大量子进程、wmiexec.exe 非法调用）；
- 核心数据库表被批量清空或加密（如 GL_accsum、UA_account、SO_SODetails 表数据突变为NULL或乱码）；
- 非运维时段出现大量失败登录尝试（Windows事件ID 4625集中爆发，源IP分布广、用户名含admin/test/123）；
- U8客户端频繁弹出‘连接中断’后自动重连失败，但同一网络下其他业务系统（如OA、邮件）访问正常。
若仅出现单点故障（如某张凭证无法审核），请优先排查权限、期间、单据状态等常规问题，避免误判为攻击事件。
最短应急路径：5分钟内必须完成的3步动作
攻击发生后黄金10分钟决定数据可恢复性。以下操作无需管理员密码即可由IT值班人员独立执行，顺序不可颠倒：
U8Service、U8Server、SQL Server (UFDATA)（通过services.msc操作）⚠️ 注意：切勿重启服务器！重启可能触发勒索程序二次加密或清除内存中残留的攻击痕迹。
攻击入口高频原因拆解
1. 远程桌面（RDP）弱口令爆破
占U8服务器攻击事件的67%（2023年用友安全中心通报数据）。攻击者利用扫描工具遍历公网IP，针对默认端口3389暴力破解administrator或ufsoft用户密码。常见特征：事件日志中存在大量4625错误，失败原因显示‘未知用户名或密码’，且来源IP为境外VPS集群。
2. U8 Web Service未关闭或暴露公网
部分实施方为方便远程维护，将U8自带的Web Service（端口8000/8001）映射至公网，且未设置IP白名单或身份验证。攻击者通过SOAP接口直接调用UFIDA.U8.UFSystem.BusinessService.LoginService绕过前端认证，获取数据库连接串。
3. SQL Server弱配置遗留风险
U8安装时默认启用sa账户且密码为空或为‘123456’，未禁用TCP/IP协议或未限制监听IP。攻击者通过nmap扫描发现1433端口开放后，使用sqlmap直接拖取UFDATA_XXX数据库全量表结构及敏感字段（如客户身份证号、银行账号）。
攻击后数据完整性校验关键动作
服务停止后，须在离线状态下完成数据可信度验证，避免带毒恢复。重点核对三类核心对象：
- 总账期初余额一致性：比对
GL_accsum表中各科目期初借方合计 vsGL_accsum期初贷方合计，差额＞0.01元即存在篡改； - 凭证流水连续性：检查
GL_master表中pk_voucher主键是否出现跳跃（如从1001直接跳至1050），跳跃超过3个编号需人工复核中间凭证是否存在伪造； - 客户档案真实性：抽样核对
Customer表中bankno字段长度（应为≤20位纯数字），若出现含字母或超长字符串（如‘ICBC-2024-EXPLOIT’），表明已被注入恶意数据。
⚠️ 风险提示：切勿直接运行U8客户端‘数据修复工具’！该工具仅校验索引完整性，无法识别逻辑层注入（如篡改客户开户行名称为钓鱼链接）。必须通过SQL脚本逐表比对业务语义。
长期防护与系统演进建议
单次应急不能解决根本风险。根据当前U8部署形态与业务复杂度，建议分阶段升级：
- 单机版/局域网小型部署（≤5用户，无跨组织协同）：关闭所有对外端口，强制启用Windows防火墙规则（仅放行内网192.168.x.x段访问3389/1433），并迁移至用友畅捷通好会计——其采用SaaS架构，默认隔离租户数据，内置防暴力破解与操作留痕审计，财务凭证、报表生成等核心流程更轻量可控；
- 多组织分销+库存协同场景（如总部-分公司-门店三级架构）：U8供应链模块常因BOM版本混乱、库存锁定失效引发连锁攻击面。建议评估用友畅捷通好生意，其进销存模块原生支持扫码出入库、多仓调拨、开单即锁库存，规避U8中因SQL直接写入导致的库存负数漏洞；
- 业财深度集成需求（如项目成本归集、合同履约进度联动应收）：U8定制开发易引入未过滤的SQL拼接，形成高危注入点。可优先考虑用友畅捷通好业财，提供低代码流程引擎与预置业财规则包（如‘销售订单→发货单→开票→回款’自动闭环），减少手工SQL干预，降低攻击面。
常见误判：这些情况不是被攻击，而是配置缺陷
避免将以下5类典型配置问题误判为安全事件，导致响应资源错配：
- U8客户端提示‘无法连接服务器’，实为SQL Server服务意外停止（检查services.msc中
SQL Server (UFDATA)状态）； - 凭证审核后‘记账失败’，实为当前会计期间已结账（查询
GL_period表中periodstate=2）； - 报表取数为空，实为U8 Web Service未启动（非攻击导致，仅影响Web端报表）；
- 打印预览空白，实为客户端未安装对应打印机驱动（与服务器安全无关）；
- 用户登录后看不到菜单，实为角色权限未分配（检查
UA_UserRole表关联关系）。