FastGPT 安全漏洞分析｜附完整命令

说明：本文仅用于企业自查、授权测试与安全加固，不鼓励也不支持任何未授权扫描、入侵或数据访问行为。文中命令应在自有环境、测试环境或获得明确授权的目标上执行。

一、FastGPT 简介与安全背景

FastGPT 是一个常见的开源 AI 知识库与智能体应用平台，通常用于构建企业内部知识问答、客服机器人、流程编排、插件调用、模型接入和 API 服务。由于它往往直接连接大模型接口、向量数据库、文件存储、知识库文档、第三方插件以及企业内部系统，因此一旦部署不当，安全影响可能并不局限于 Web 后台本身，而会进一步扩散到企业数据、模型密钥、知识库内容、内部 API 以及业务系统。

从攻击面看，FastGPT 这类 AI 应用平台通常具备以下特点：

• 暴露 Web 管理后台与开放 API；
• 支持用户上传文档、解析文件、构建知识库；
• 支持调用外部模型、插件、工具或自定义接口；
• 依赖 MongoDB、PostgreSQL、Redis、对象存储、向量数据库等组件；
• 常通过 Docker Compose、Kubernetes、Nginx 反向代理等方式部署；
• 需要配置大量敏感环境变量，例如模型 API Key、数据库密码、JWT Secret、系统初始化 Token 等。

这些特点决定了 FastGPT 的安全风险主要集中在“认证授权、密钥管理、接口暴露、文件处理、服务端请求、容器部署、依赖组件和日志泄露”几个方向。很多风险并非一定来自 FastGPT 代码本身，而是来自错误配置、弱口令、默认配置、调试模式、反向代理规则不严、数据库端口暴露、对象存储权限过宽等实际部署问题。

二、资产梳理：先确认暴露面

安全分析的第一步不是直接“打漏洞”，而是明确系统有哪些入口、服务和依赖。对于 FastGPT 部署环境，建议从域名、端口、容器、配置文件、反向代理和数据库连接几个层面进行梳理。

1. 查看本机监听端口

ss -tulnp

如果系统没有 ss，可使用：

netstat -tulnp

重点关注以下端口是否对公网开放：

80 / 443       Web 服务
3000 / 3001    Node.js 应用服务
27017          MongoDB
5432           PostgreSQL
6379           Redis
9000 / 9001    MinIO 或对象存储管理端

数据库、缓存、对象存储管理端通常不应直接暴露到公网。

2. 查看 Docker 容器状态

docker ps

查看容器端口映射：

docker ps --format "table {{.Names}}\t{{.Image}}\t{{.Ports}}"

查看某个容器详细信息：

docker inspect 

如果使用 Docker Compose：

docker compose ps

查看服务日志：

docker compose logs --tail=200

这些命令可以帮助确认 FastGPT、数据库、Redis、向量数据库、网关等组件是否按预期启动，以及是否有异常报错、认证失败、密钥泄露或调试日志输出。

3. 检查公网端口暴露

在授权环境中，可从外部机器执行端口探测：

nmap -sV -Pn -p 1-65535 example.com

如果只想检查常见端口：

nmap -sV -Pn -p 80,443,3000,3001,27017,5432,6379,9000,9001 example.com

输出中如果出现 MongoDB、Redis、PostgreSQL、MinIO Console 等服务暴露到公网，应优先处理。AI 平台中最常见、影响最大的安全问题，往往不是复杂漏洞，而是基础组件误暴露。

三、认证与授权风险分析

FastGPT 通常具备后台管理、知识库管理、应用管理、API 调用、团队空间、成员权限等功能。认证授权问题是此类系统最核心的风险之一。

1. 默认账号与弱口令

如果系统初始化后未及时修改管理员密码，或者团队成员使用弱口令，攻击者可能通过撞库、弱口令尝试进入后台。自查时应确认：

• 是否存在默认管理员账号；
• 是否启用强密码策略；
• 是否启用登录失败限制；
• 是否记录异常登录日志；
• 是否支持多因素认证或外部统一身份认证；
• 是否关闭了无用的注册入口。

可以通过访问登录接口观察是否存在明显的错误信息泄露，例如区分“用户不存在”和“密码错误”。这类差异可能帮助攻击者枚举账号。

2. API Key 权限过大

FastGPT 常用于对外提供 API 调用。如果 API Key 泄露，攻击者可能直接调用知识库问答、应用编排或模型接口，造成费用损失与数据泄露。应重点检查：

• API Key 是否按应用、团队、环境隔离；
• 是否支持过期时间和轮换机制；
• 是否可以限制来源 IP；
• 是否记录 API 调用日志；
• 是否存在长期不使用但仍有效的 Key；
• 是否将 API Key 写入前端代码、公开文档、Git 仓库或日志。

本地排查项目目录中的疑似密钥：

grep -RInE "OPENAI|API_KEY|SECRET|TOKEN|PASSWORD|JWT|MONGO|REDIS|POSTGRES" .

如果使用 ripgrep：

rg -n "OPENAI|API_KEY|SECRET|TOKEN|PASSWORD|JWT|MONGO|REDIS|POSTGRES"

检查 Git 历史中是否曾提交敏感信息：

git log --all --full-history -- "*.env" "*.yml" "*.yaml" "*.json"

搜索历史提交中的密钥痕迹：

git grep -n "API_KEY\|SECRET\|TOKEN\|PASSWORD" $(git rev-list --all)

如果发现密钥已经进入 Git 历史，仅删除当前文件是不够的，应立即轮换密钥，并考虑清理历史提交。

四、环境变量与配置泄露

FastGPT 部署通常依赖 .env、docker-compose.yml、Kubernetes Secret、Nginx 配置等文件。这些配置中可能包含模型密钥、数据库连接串、管理员初始化密钥、对象存储账号等敏感信息。

1. 检查 .env 权限

ls -la .env

建议权限尽量收紧，例如：

chmod 600 .env

检查当前目录下所有环境文件：

find . -name ".env*" -type f -print

查看是否存在备份文件：

find . -type f \( -name "*.bak" -o -name "*.backup" -o -name "*.old" -o -name "*.copy" \) -print

常见问题包括：

• .env 被 Nginx 静态目录暴露；
• .env 被提交到 Git；
• 备份配置文件留在 Web 根目录；
• 日志中打印完整数据库连接串；
• Docker 镜像构建时将密钥写入镜像层。

2. 检查容器环境变量

docker inspect  --format '{{range .Config.Env}}{{println .}}{{end}}'

如果输出中包含明文 API Key、数据库密码或 JWT Secret，应确保只有可信管理员可以访问 Docker 主机。容器环境变量对拥有 Docker 权限的用户通常是可见的，因此 Docker 主机本身也必须纳入安全边界。

五、文件上传与知识库解析风险

FastGPT 的重要功能之一是上传文档并构建知识库。文件上传类功能常见风险包括：

• 上传超大文件导致磁盘或内存耗尽；
• 上传恶意压缩包触发 Zip Bomb；
• 文件名包含特殊字符导致路径处理异常；
• 文档解析组件存在漏洞；
• 解析后的内容被错误地返回给无权限用户；
• 上传文件被公开访问；
• 文件内容中包含提示词注入，影响后续问答行为。

检查上传目录大小：

du -sh ./data ./uploads 2>/dev/null

查找大文件：

find . -type f -size +100M -print

查找可疑脚本文件：

find . -type f \( -name "*.php" -o -name "*.jsp" -o -name "*.sh" -o -name "*.py" -o -name "*.js" \) -print

如果系统使用对象存储，例如 MinIO，应检查 Bucket 是否允许匿名读取：

mc alias set local http://127.0.0.1:9000  
mc anonymous list local

查看指定 Bucket 权限：

mc anonymous get local/

建议上传文件默认私有化存储，通过后端鉴权接口按权限读取，避免直接把对象存储公网地址暴露给用户。

六、SSRF 与插件调用风险

AI 应用平台常支持插件、HTTP 工具、自定义 API、工作流节点等能力。如果服务端允许用户输入 URL 并由后端发起请求，就可能产生 SSRF 风险。SSRF 的危害包括：

• 访问云厂商元数据服务；
• 探测内网服务；
• 访问仅内网可达的数据库、管理后台或 API；
• 读取本机服务信息；
• 借助服务器 IP 绕过访问控制。

防护重点不是简单过滤字符串，而是建立严格的访问策略：

• 默认禁止请求内网地址；
• 禁止访问 127.0.0.1、localhost、0.0.0.0；
• 禁止访问私有网段，例如 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16；
• 禁止访问链路本地地址，例如 169.254.0.0/16；
• 限制可访问域名白名单；
• 禁止自动跟随重定向到内网地址；
• 对 DNS 解析结果进行校验；
• 设置请求超时、响应大小限制和日志审计。

在服务器上自查是否能访问云元数据地址：

curl -m 3 -I http://169.254.169.254/

如果部署在云服务器上，并且业务容器可以访问元数据服务，应结合云厂商能力启用 IMDSv2、元数据访问限制或网络策略隔离。

检查容器网络：

docker network ls

查看某个网络详情：

docker network inspect 

如果 FastGPT 应用容器与数据库、管理组件、内部服务处于同一网络，应评估插件调用功能是否可能间接访问这些内部组件。

七、数据库与缓存组件风险

1. MongoDB

检查 MongoDB 是否监听公网：

ss -tulnp | grep 27017

进入容器检查配置：

docker exec -it  mongosh

查看数据库用户：

db.getUsers()

查看认证状态：

db.runCommand({ connectionStatus: 1 })

如果 MongoDB 没有启用认证，或绑定在 0.0.0.0 并暴露公网，风险极高。建议：

• 启用认证；
• 使用强密码；
• 仅监听内网或容器网络；
• 配置防火墙；
• 定期备份；
• 禁止使用管理员账号作为业务账号。

2. Redis

检查 Redis 暴露情况：

ss -tulnp | grep 6379

尝试本地连接：

redis-cli -h 127.0.0.1 -p 6379 ping

如果无密码即可返回 PONG，需要立即检查 Redis 是否仅限本机或内网访问。Redis 建议配置：

requirepass 强密码
bind 127.0.0.1
protected-mode yes

如果使用 Docker Compose，应避免类似以下高风险映射：

ports:
  - "6379:6379"

除非确有必要，Redis 不应暴露到宿主机公网端口。

3. PostgreSQL

检查端口：

ss -tulnp | grep 5432

连接测试：

psql -h 127.0.0.1 -U  -d 

检查 pg_hba.conf 中是否存在过宽规则，例如允许任意 IP 使用密码连接。应避免：

host all all 0.0.0.0/0 md5

更合理的做法是只允许指定内网段或容器网络访问。

八、反向代理与 HTTPS 配置

FastGPT 对外服务一般通过 Nginx、Traefik、Caddy 或云负载均衡暴露。反向代理层是抵御多数通用攻击的重要边界。

检查 Nginx 配置：

nginx -T

检查 HTTPS 证书：

openssl s_client -connect example.com:443 -servername example.com 

curl -I https://example.com

Strict-Transport-Security
X-Content-Type-Options
X-Frame-Options
Referrer-Policy
Content-Security-Policy

add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

client_max_body_size 50m;
proxy_connect_timeout 10s;
proxy_send_timeout 60s;
proxy_read_timeout 60s;

docker compose logs --tail=1000 > fastgpt-compose.log

docker logs --tail=1000  > container.log

docker logs -f 

last

lastb

grep "Accepted\|Failed" /var/log/auth.log

grep "Accepted\|Failed" /var/log/secure

find . -type f -mtime -7 -print

find /tmp /var/tmp -type f -executable -print 2>/dev/null

crontab -l

ls -la /etc/cron* /var/spool/cron 2>/dev/null

docker images

docker compose pull

docker compose up -d

npm audit

pnpm audit

yarn audit

trivy image :

trivy fs .

trivy config .

mkdir -p backup
cp docker-compose.yml backup/docker-compose.yml.$(date +%F-%H%M%S)
cp .env backup/.env.$(date +%F-%H%M%S)

docker exec  mongodump --archive=/tmp/fastgpt.archive
docker cp :/tmp/fastgpt.archive ./backup/fastgpt.archive

openssl rand -base64 48

echo "== Listening Ports ==" && ss -tulnp

echo "== Docker Containers ==" && docker ps --format "table {{.Names}}\t{{.Image}}\t{{.Ports}}"

echo "== Docker Networks ==" && docker network ls

echo "== Env Files ==" && find . -name ".env*" -type f -print

echo "== Possible Secrets ==" && rg -n "API_KEY|SECRET|TOKEN|PASSWORD|JWT|MONGO|REDIS|POSTGRES|OPENAI" . || true

echo "== Large Files ==" && find . -type f -size +100M -print

echo "== Backup Files ==" && find . -type f \( -name "*.bak" -o -name "*.backup" -o -name "*.old" \) -print

echo "== Recent Modified Files ==" && find . -type f -mtime -7 -print

echo "== Compose Logs ==" && docker compose logs --tail=200

grep -RInE "API_KEY|SECRET|TOKEN|PASSWORD|JWT|MONGO|REDIS|POSTGRES|OPENAI" . || true