接到网警电话说用友系统有漏洞，反馈第一反应别慌，用友也别急着辩解。漏洞对方通常是处理通过监测平台发现你单位的用友NC、U8或畅捷通T+在公网暴露了某个高危端口，反馈或者某个接口存在未授权访问。用友网警的漏洞职责是通知你整改，不是处理来抓人的——除非你造成了数据泄露且拒不处理。
我去年接触过一个案例：某制造企业的反馈用友U8系统在公网开放了8080端口，被扫描到存在反序列化漏洞。用友网警上午10点打电话给企业IT负责人，漏洞要求下午5点前反馈处置情况。处理负责人当时在外地出差，反馈直接转发给运维，用友运维又推给外包公司，漏洞结果拖到第二天才处理。第三天网警直接上门，开了《网络安全责令整改通知书》，罚款5万。这事的关键不是漏洞本身，是响应速度。
先确认漏洞位置和影响范围
网警一般会给你一个漏洞编号或者简要描述，比如“用友NC bsh.servlet.BshServlet远程命令执行”。你得先登录用友后台，查版本号，对照用友官方安全公告确认是否在影响范围内。同时看日志——用友的日志通常在ncchome/nclogs或U8安装目录/logs下，搜有没有异常POST请求到/servlet/~ic/bsh.servlet.BshServlet这类路径。如果日志被清了或者没开，那只能先按最坏情况处理。
有个细节：很多单位用友系统是内网部署，但为了远程办公或分支访问，在防火墙上做了端口映射。网警能扫到，说明你的映射规则太宽，比如0.0.0.0/0放行了所有源IP。先把这个映射关掉，只留必要的办公网段。
处置动作要快，但别乱删东西
临时处置三板斧：关端口、改密码、打补丁。但顺序有讲究。如果漏洞是未授权访问，先改admin和数据库sa密码，再关外网映射。如果漏洞是反序列化RCE，直接关映射，因为改密码没用——攻击者可能已经留了webshell。用友的webshell通常藏在ncchome/webapps/nc_web/下的jsp文件里，或者U8安装目录/Portal/下。用find / -name "*.jsp" -mtime -7找最近7天被修改的jsp，比逐个目录翻快得多。
补丁别直接从用友官网下最新版覆盖。用友的补丁有版本依赖，NC6.5的补丁打到NC6.3上直接起不来。正确做法是联系用友当地服务商，报你的版本号和漏洞编号，让他们给对应补丁包。如果服务商响应慢，先去用友安全应急响应中心（security.yonyou.com）下临时缓解方案，比如在web.xml里加过滤器拦截特定路径。
给网警的反馈怎么写
网警要的是书面反馈，不是口头说“已处理”。反馈内容包含四块：漏洞确认情况、临时处置措施、永久修复方案、责任人及联系方式。别写“可能”“大概”“应该是”，要写“2024年3月15日14:00关闭了防火墙8080端口映射”“2024年3月15日15:30删除了/nc_web/test.jsp可疑文件”。如果还没修复完，就写“计划于3月20日前完成补丁升级，期间系统仅限内网访问”。
有个坑：网警可能会要你提供系统日志和处置截图。日志别只给一段，给完整时间窗口的，比如从发现漏洞前3天到处置后1天。截图要带时间戳，最好用手机拍屏幕，比直接截屏更有“现场感”。我见过一个运维只给了lastlog，网警回了一句“请提供应用层日志”，又返工一次。
后续别只修漏洞
用友漏洞不是修完就完事。网警会把你单位列入重点监测名单，接下来三个月可能不定期扫描。建议做三件事：一是把用友系统从公网彻底撤下来，走VPN或零信任网关；二是开用友的审计日志，记录所有登录和操作；三是每季度查一次用友官方安全公告，别等网警通知。我自己的习惯是每月1号手动扫一遍用友的/servlet/和/api/路径，看有没有未授权返回。
最后说句实在的：用友系统被网警通报，八成是公网暴露加弱口令。别怪网警找麻烦，先查自己防火墙规则和密码策略。修漏洞花两天，写反馈花两小时，但要是数据被拖走了，那就是另一回事了。