TPotCE项目中EWS Poster组件JSON格式变更问题分析

在TPotCE 24.04.1版本中，用户报告了一个关于EWS Poster组件输出JSON格式变更的问题。该问题表现为在系统每日自动重启后，所有蜜罐开始发送包含大量"#text"键的特殊格式数据，而非之前的正常格式。

问题现象

受影响系统的EWS Poster组件输出的JSON数据格式发生了显著变化，主要特征包括：

1. 所有值字段都被包装在"#text"键中
2. 时间戳字段增加了时区属性(@tz)
3. 源地址和目标地址信息被重构为包含类别、端口和协议属性的复合结构
4. 附加数据(AdditionalData)数组中的每个元素都采用了类型(@type)和含义(@meaning)的标注方式

这种格式变更虽然不影响数据的完整性，但可能导致依赖特定JSON结构的后端处理系统出现兼容性问题。

问题根源

经过技术团队分析，确认该问题是由TPotCE 24.04.1版本中集成的EWS Poster组件版本变更引起的。具体表现为：

1. 新版本引入了更严格的XML到JSON转换逻辑
2. 数据序列化过程中添加了额外的结构标记
3. 字段值的包装方式从直接输出变为规范化结构

解决方案

技术团队迅速响应并提供了两种解决方案：

1. 临时解决方案：使用测试版镜像(dtagdevsec/ewsposter:testing)替代当前版本，可立即恢复原有JSON格式

2. 永久解决方案：团队已提交代码修复(e469426)，并推送了更新后的镜像。该修复：

   • 恢复了原有的JSON输出格式
   • 保持了数据完整性和功能性
   • 确保向后兼容性

技术建议

对于使用TPotCE的安全运维人员，建议：

1. 定期检查各组件版本更新说明
2. 在非生产环境测试新版本后再进行升级
3. 对数据处理系统增加JSON格式兼容性检查
4. 关注官方发布的安全和功能更新

该问题的快速解决体现了TPotCE项目团队对用户体验的重视和高效的问题响应能力。用户只需按照官方指导更新组件即可恢复正常功能，无需进行复杂的配置调整。