محرفات الصدفة (`;`, `|`, `&`, `` ` ``, `$()`, `&&`, `||`, أسطر جديدة) تسمح بـ **إنهاء الأوامر** و **تنفيذ أوامر ثانوية عشوائية**.

### لماذا يُعد CVSS 10.0 مبررًا

كل مقياس تأثير في CVSS 4.0 داخل المتجه المنشور هو **مرتفع**، بما في ذلك تأثيرات **الأنظمة اللاحقة**:

| الخاصية | القيمة | الدلالة |
|---|---|---|
| `AV:N` | شبكة | إمكانية الاستغلال عبر WAN |
| `AC:L` | تعقيد منخفض | طلب HTTP واحد مُصمم |
| `AT:N` | لا متطلبات هجوم خاصة | قابل للاستغلال في النشر الافتراضي |
| `PR:N` | لا صلاحيات | لا حاجة لحساب |
| `UI:N` | لا تفاعل مع المستخدم | استغلال آلي بالكامل |
| `VC/VI/VA:H` | سرية/تكامل/توفر كاملة على مضيف EIMS | اختراق كامل |
| `SC/SI/SA:H` | الأنظمة اللاحقة مرتفعة | EIMS هو محور تكامل مركزي |

هذه واحدة من أكثر الدرجات المنشورة شدةً الممكنة في CVSS 4.0.

### سياق بنية EIMS (التشغيلي)

عادةً ما يقع EIMS في موقع **مركزي** داخل البنية الأمنية:```
[Internet / WAN] ──?──> [EIMS Application Server]
                              │
              ┌───────────────┼───────────────┐
              ▼               ▼               ▼
         [Directory]    [Access DB]     [Device APIs]
              │               │               │
              └───────────────┴───────────────┘
                              │
                    [Cameras / Doors / Alarms]

### التأثير على النظام المعرض للخطر```
Vuln Confidentiality:     None     Low      [High]
Vuln Integrity:           None     Low      [High]
Vuln Availability:        None     Low      [High]

---

## تصنيف CWE

| # | CWE ID | الاسم | الصلة |
|---|---|---|---|
| 1 | **CWE-78** | [تحييد غير صحيح للعناصر الخاصة المستخدمة في أمر نظام التشغيل ('حقن أوامر نظام التشغيل')](https://cwe.mitre.org/data/definitions/78.html) | يتم تمرير `captureCommand` إلى تنفيذ أمر نظام التشغيل دون تحييد |

### نقاط الضعف ذات الصلة (السياقية)

| CWE | الاسم | العلاقة |
|---|---|---|
| CWE-77 | حقن الأوامر (عام) | فئة أصلية |
| CWE-306 | غياب المصادقة لوظيفة حرجة | إمكانية الوصول غير المصادق إلى معالج خطير |
| CWE-20 | التحقق غير السليم من الإدخال | فشل التحقق الجذري |
| CWE-434 | رفع غير مقيد | متابعة محتملة بعد الاستغلال، وليست ثغرة أساسية |

---

## المتطلبات الأساسية للهجوم

| المتطلب | مطلوب؟ | ملاحظات |
|---|---|---|
| بيانات اعتماد EIMS صالحة | **لا** | غير مصادق |
| تفاعل المستخدم الضحية | **لا** | طلب HTTP واحد كافٍ |
| اختراق مسبق | **لا** | استغلال مستقل |
| إمكانية الوصول الشبكي إلى EIMS عبر HTTP(S) | **نعم** | `capture_handle.action` يمكن الوصول إليه |
| إصدار قابل للاستغلال (`< 2240008`) | **نعم** | الإصدارات المحدّثة غير متأثرة |
| التعرض للإنترنت | **غير مطلوب** | الحالات القابلة للوصول عبر LAN/WAN/VPN معرّضة للخطر بالتساوي |

**قابل للاستغلال عن بُعد:** **نعم**

---

## سيناريوهات الاستغلال

### السيناريو 1 — EIMS مكشوف على الإنترنت (Shodan / ZoomEye)

يقوم المهاجمون بجرد المضيفين `app="Dahua EIMS"` على محركات المسح على الإنترنت، ويوصلون حقن الأوامر إلى `capture_handle.action`، وينشرون قشرة ويب أو قشرة عكسية، ويقومون بتسريب قواعد بيانات الأمن المؤسسي.

### السيناريو 2 — حملة جماعية لمشغلي برامج الفدية

تحدد الماسحات الآلية الحالات القابلة للاستغلال. يقوم المهاجمون بتشفير مضيف EIMS ومشاركات الملفات المتصلة، ويطالبون بفدية بينما تكون عمليات تكامل التحكم في الوصول المادي وإدارة الزوار غير متصلة.

### السيناريو 3 — الحركة الجانبية من اختراق المحيط

يخترق المهاجم خادم ويب في منطقة DMZ، وينتقل إلى نسخة EIMS قابلة للوصول داخليًا على VLAN إدارية مشتركة، ويستخدم بيانات اعتماد EIMS/مفاتيح API المخزنة على المضيف للتفاعل مع وحدات تحكم الأبواب والكاميرات النهائية.

### السيناريو 4 — تجسس بدون مخبر داخلي

تقوم جهات فاعلة تابعة لدول أو جهات إجرامية بتسريب سجلات وصول الموظفين وسجلات الزوار وخرائط المباني دون إعادة تشغيل الخدمات — مع الحفاظ على استمرارية طويلة الأمد عبر أبواب خلفية cron/systemd.

### السيناريو 5 — سلسلة التوريد / مقدمو الخدمات المُدارة (MSP) من جهة التكامل

يستضيف مزود خدمة مُدارة نسخة EIMS واحدة لعشرات العملاء. يؤثر اختراق واحد على **جميع المستأجرين** على ذلك الخادم — فشل كارثي مركّز.

---

## تقييم الأثر

### الأثر التقني

| المجال | التقييم | التفاصيل |
|---|---|---|
| السرية | **عالي** | وصول قراءة كامل لنظام الملفات وقاعدة البيانات بشكل نموذجي |
| السلامة | **عالي** | كتابة ملفات عشوائية، عبث بالإعدادات، أبواب خلفية |
| التوافر | **عالي** | إنهاء العمليات، مسح البيانات، برامج الفدية |
| الأنظمة اللاحقة | **عالي** | بيانات اعتماد التكامل تمكن من إساءة الاستخدام في الأنظمة النهائية |

### الأثر التجاري

| القطاع | النتيجة |
|---|---|
| **حرم الشركات** | تجاوز التحكم في الوصول، تسريب بيانات الزوار |
| **الحكومة / البنية التحتية الحرجة** | اختراق مستوى التحكم عبر الأمن المادي |
| **الرعاية الصحية** | كشف سجلات الوصول ذات الصلة بـ HIPAA |
| **التعليم** | التلاعب بأنظمة سلامة الطلاب والموظفين |
| **مقدمو التكامل / MSPs** | اختراق متعدد العملاء من مضيف واحد |

### التعرض التنظيمي والقانوني

قد يؤدي اختراق EIMS إلى:

- التزامات الإبلاغ عن الاختراق (GDPR، قوانين خصوصية الولايات، إلخ.)
- الإبلاغ عن البنية التحتية الحرجة في القطاعات المنظمة
- عقوبات تعاقدية على اتفاقيات مستوى الخدمة مع عملاء الأمن المادي

---

## اكتشاف الأصول

### استعلام ZoomEye

| المنصة | الاستعلام | الرابط |
|---|---|---|
| **ZoomEye** | `app="Dahua EIMS"` | [البحث على ZoomEye](https://www.zoomeye.ai/searchResult?q=YXBwPSJEYWh1YSBFSU1TIg==) |

### الجرد الدفاعي (مصرح به فقط)

| الطريقة | الإجراء |
|---|---|
| **سجلات CMDB / التراخيص** | سرد جميع تثبيتات EIMS وإصداراتها |
| **جرد الأجهزة الافتراضية** | البحث عن حزم Dahua EIMS على خوادم التطبيقات |
| **إعدادات الوكيل العكسي** | تحديد الأنظمة الواجهة الموجهة إلى `capture_handle.action` |
| **ماسحات الثغرات الأمنية** | تشغيل فحوصات معتمدة من البائع باستخدام التوقيعات المنشورة |
| **سطح الهجوم على الإنترنت** | مقارنة نتائج ZoomEye مع عناوين IP العامة المملوكة |

> امسح فقط الأصول التي تملكها أو المخول لك اختبارها صراحةً.

---

## الكشف ومؤشرات الاختراق

### مؤشرات الشبكة

- طلبات HTTP `GET`/`POST` إلى **`/capture_handle.action`** أو مطابقة لاحقة المسار
- طلبات تحتوي على **`captureCommand=`** مع محارف شل خاصة أو مكافئات مشفرة (`%3B`, `%7C`, `%26`, `%24`, `` %60 ``, `%0A`)
- ارتفاع مفاجئ في استجابات **4xx/5xx** يتبعه **اتصالات صادرة جديدة** من مضيف EIMS
- استعلامات **DNS** غير متوقعة أو **نشاط إشارات** من خادم التطبيقات بعد HTTP شاذ

### مؤشرات المضيف

- مهام **cron** جديدة، أو **مهام مجدولة**، أو وحدات **systemd** على خادم EIMS
- **قشور ويب** غير متوقعة في أدلة Tomcat/webapp
- **مستخدمون محليون جدد** أو تعديلات على **SSH authorized_keys**
- عملية **java** أو **tomcat** تستدعي `/bin/sh` أو `cmd.exe` أو `powershell` أو `bash`
- تنبيهات مكافحة الفيروسات/EDR على مضيف EIMS مرتبطة بسجلات الوصول إلى الويب

### أنماط سجلات التطبيق

- وصول إلى `capture_handle.action` من **عناوين IP مصدر غير مألوفة**
- طلبات متطابقة **عالية التكرار** (سلوك الماسحات)
- أخطاء في أدوات تغليف الأوامر مباشرة بعد قيم `captureCommand` مشبوهة

### خلاصات استخبارات التهديدات

راقب ما يلي:

- توقيعات CNVD-2024-17054 / CVE-2024-13985
- نتائج مطابقة لقالب Nuclei (توجد قوالب عامة — استخدمها للمسح **المصرح به**)
- قواعد SIEM التي تضع علامات على محاولات استغلال Dahua EIMS

### استعلامات الطوارئ الموصى بها (SIEM)```
# Example patterns — adapt to your log schema
url:"capture_handle.action" AND captureCommand:*
url:"capture_handle.action" AND (captureCommand:*;* OR captureCommand:*|* OR captureCommand:*&*)