海康威视iVMS综合安防系统存在在野文件上传0day漏洞,请及时排查加固!
2023-5-31 19:55:41 Author: 友创佳业(查看原文) 阅读量:267 收藏

前言

友创佳业安服团队在为客户提供7*24小时安全运营过程中,发现海康威视iVMS系统存在在野文件上传0day漏洞,发现后,安服团队已帮助服务客户进行验证,并在相关产品上进行配置、防护。

该漏洞还属于0day阶段,因此,在下文复现过程中已对相关敏感信息进行打码。)

关于海康威视IVMS

海康威视iVMS集中监控应用管理平台是一种视频监控管理软件,它支持多种摄像机格式,可以管理多达1000台摄像机。iVMS广泛应用于社会安防、交通管理、物流管理、金融监管等领域,在提升安全和管理效率方面发挥了重要作用。

漏洞复现

上传路径:/eps/XXX/XXX/upload?token=

token的值为:md5(目标url+/eps/XXX/XXX/XXX)转大写,其中秘钥为硬编码

获得token值:

构造数据包:

文件上传并成功访问

结语

在互联网日益发达的今天,无论是个人或企业所使用的IT产品都有可能存在网络安全隐患,网络安全和每个人息息相关,在生活与工作中,都需注意网络安全问题,在日常使用过程中,请及时升级、加固所使用的IT产品,避免产生更严重的危害,对个人和企业造成不必要的损失。

往期回顾


文章来源: http://mp.weixin.qq.com/s?__biz=Mzk0MTAyMzAxNg==&mid=2247484382&idx=1&sn=fa4e7eeacf907c1326f3b9d3842c08f0&chksm=c2d98999f5ae008f337264819ec34419ce61ebbf74b76eedbc3fdaf62ec08ab360b985bf820b#rd
如有侵权请联系:admin#unsafe.sh