PoC

PoC divers - Internet des objets (in)sécurisés

Ça vaut vraiment la peine de lire ces (in)sécurités pourries : https://ipvm.com/reports/security-exploits

Hikvision CVE-2021-36260

2021-10-19

Tout le crédit à Watchful_IP (https://watchfulip.github.io/)

https://github.com/mcw0/PoC/blob/master/CVE-2021-36260.py

Dahua CVE-2021-33044, CVE-2021-33045

2021-10-06

Détails : https://github.com/mcw0/PoC/blob/master/Dahua%20authentication%20bypass.txt

PoC : https://github.com/mcw0/DahuaConsole

2021-09-06

Deux contournements d'authentification indépendants.

En raison du très fort potentiel d'un autre « Dahua mass hack », je conserverai les détails de la divulgation complète jusqu'au 6 octobre 2021.

Je recommande fortement de mettre à jour le firmware d'ici là.

https://www.dahuasecurity.com/support/cybersecurity/details/957

Chiffrement/déchiffrement DES/3DES Dahua, fuites d'identifiants NetSDK, clés/mots de passe Cloud, PoC DHP2P

2020-05-09

• Implémentation d'authentification Dahua DES/3DES (cassée) et PSK
• Vulnérabilité : Dahua NetSDK fuit les identifiants (8 premiers caractères) de tous les clients dans la requête REALM lors de l'utilisation des protocoles DVRIP et DHP2P
• PoC : ajout d'un simple listener DVRIP TCP/37777 pour afficher les identifiants déchiffrés en clair
• Vulnérabilité : fuite d'identifiants du protocole Cloud DHP2P de Dahua
• Vulnérabilité : clés/mots de passe Cloud DHP2P codés en dur pour 23 fournisseurs différents
• PoC : accès aux appareils au sein du Cloud DHP2P. PoC réalisé uniquement pour Dahua IMOU

https://github.com/mcw0/PoC/blob/master/Dahua-3DES-IMOU-PoC.py

Mise à jour : Dahua-JSON-Debug-Console-v2.py

2020-02-29

• Ajout de l'option 'setDebug', devrait commencer à produire une sortie depuis la Debug Console dans VTO/VTH
• Ajout de '--discover', recherche multicast d'appareils ou sonde directe (--rhost 192.168.57.20) d'un appareil via UDP/37810
• Ajout de '--dump {config,service}' pour vider la config ou les services sur un hôte distant sans entrer dans la Debug Console

https://github.com/mcw0/Tools/blob/master/Dahua-JSON-Debug-Console-v2.py

Mise à jour

2020-02-15

Un contact a été établi cette semaine avec le PSIRT de Dahua, les détails, le PoC et les preuves pour 23 fournisseurs cloud différents ont été fournis. Je suivrai également le nouvel essai de Google Zero « Policy and Disclosure: 2020 Edition » (car cela a du sens pour moi), ce qui signifie que je publierai après 90 jours, que Dahua publie ou non des mises à jour avant ou après le 09.05.2020 19:00 UTC (9 mai 2020 19:00 UTC).

Dahua, veuillez corriger et rendre les mises à jour disponibles avant cette date...

Référence : Google Zero « Policy and Disclosure: 2020 Edition » : https://googleprojectzero.blogspot.com/2020/01/policy-and-disclosure-2020-edition.html

Il y a quelques heures

2020-02-10

Je viens de divulguer au PSIRT de Dahua des fuites d'identifiants (aboutissant en clair) provenant du SDK Dahua, voyons comment ils vont prendre cette information. Assez mauvais quand il y a plus de 20 fournisseurs cloud différents impliqués... 90 jours qui défilent à partir d'aujourd'hui.

Outils

2020-01-20

Nouveau dépôt créé où je prévois de pousser quelques outils.

https://github.com/mcw0/Tools

Première sortie : Dahua-JSON-Debug-Console-v2.py

• Porté vers Python 3
• Correction de quelques bugs et ajustement du code
• Ajout du support de DVRIP (TCP/37777) [Remarque : certaines commandes JSON qui fonctionnent avec DHIP ne retournent rien avec DVRIP]
• encodage/décodage en latin-1, nous pourrions avoir besoin des caractères intacts entre 0x00 - 0xff
• Meilleur 'debug' avec hexdump en option

Axis Communications

2019-10-06 (vieilleries)

Détecter anonymement le modèle et la version du firmware des appareils Axis (1998 - 2019).

https://github.com/mcw0/PoC/blob/master/axis-detect.py

PoC du contrôleur de switch géré Realtek (RTL83xx)

2019-08-20

https://github.com/mcw0/PoC/blob/master/Realtek-RTL83xx-PoC.py

Plusieurs vulnérabilités dans de nombreux switchs réseau

2019-08-06

https://www.vdoo.com/blog/disclosing-significant-vulnerabilities-network-switches

Tous les détails techniques accompagnés du PoC Python seront publiés ici le 20 août 2019.

LifeSafety Power

2019-05-15

Multiples débordements de pile, RCE, divulgation de nom d'utilisateur/mot de passe en clair et plus encore

https://github.com/mcw0/PoC/blob/master/LifeSafetyPower-Netlink-PoC.py

Console de débogage JSON DHIP Dahua (authentifiée)

2019-04-10

Ce script utilisera le protocole binaire P2P « DHIP » de Dahua, qui fonctionne sur les ports HTTP/HTTPS normaux et TCP/5000

S'attachera à la « Debug Console » interne des appareils Dahua en utilisant JSON (même type que l'ancien débogage sur TCP/6789)

https://github.com/mcw0/PoC/blob/master/Dahua-DHIP-JSON-Debug-Console.py

Amusez-vous bien, bashis

VDOO

2019-01-23

Salutations, cela fait longtemps sans publier ...

Je suis toujours là et je poursuis mes recherches, mais la nouvelle est que j'essaie aussi de travailler avec VDOO (https://www.vdoo.com/) pour la gestion des fournisseurs, ce qui a malheureusement quelque peu retardé mon processus de divulgation complète ...

Quoi qu'il en soit, plusieurs recherches intéressantes arrivent en divulgation complète ici sur mon GitHub.

Grâce à la collaboration avec VDOO, je peux travailler sur ce que j'aime faire, et ne pas perdre de temps avec les fournisseurs qui (ne veulent pas | ne comprennent pas | veulent ignorer | veulent retarder | peu importe).

Les plus récents concernent du matériel Reolink (https://reolink.com/), que vous trouverez ici : https://www.vdoo.com/blog/working-with-the-community-%E2%80%93-significant-vulnerabilities-in-reolink-cameras/.

AVTECH Corporation

2018-06-18

AVTECH {DVR/NVR/IPC} Débordement de tas, API IPCP, RCE

https://github.com/mcw0/PoC/blob/master/Avtech_Undocumented_API_and_RCE.txt

https://github.com/mcw0/PoC/blob/master/AVTECH-IPCP-RCE.py

Reolink Digital Technology Co., Ltd.

2018-06-03

Reolink {IPC} RCE (Authentifié)

https://github.com/mcw0/PoC/blob/master/Reolink-IPC-RCE.py

Shenzhen TVT Digital Technology Co. Ltd

2018-04-09

Shenzhen TVT Digital Technology Co. Ltd & OEM {DVR/NVR/IPC} API RCE https://github.com/mcw0/PoC/blob/master/TVT_and_OEM_IPC_NVR_DVR_RCE_Backdoor_and_Information_Disclosure.txt https://github.com/mcw0/PoC/blob/master/TVT-PoC.py

AVTECH

2018-03-05

AVTECH {DVR/NVR/IPC} RCE authentifié

https://github.com/mcw0/PoC/blob/master/AVTECH-RCE.py

Geovision Inc.

2018-02-01

Geovision Inc. Caméra IP/Vidéo/Contrôle d'accès : exécution multiple de commandes à distance - Débordements de pile multiples - Double free - Accès non autorisé https://github.com/mcw0/PoC/blob/master/Geovision%20IP%20Camera%20Multiple%20Remote%20Command%20Execution%20-%20Multiple%20Stack%20Overflow%20-%20Double%20free%20-%20Unauthorized%20Access.txt

PoC d'exécution de commandes à distance sur caméra IP & serveur vidéo Geovision Inc. https://github.com/mcw0/PoC/blob/master/Geovision-PoC.py

Herospeed

2018-01-22

Le démon TelnetSwitch de Herospeed tournant sur TCP/787, permettant l'activation de telnetd. Où un petit débordement de pile nous permet d'écraser le mot de passe généré dynamiquement et d'activer telnetd. https://github.com/mcw0/PoC/blob/master/Herospeed-TelnetSwitch.py

Foscam

2018-01-15

Petit wrapper OpenSSL permettant de boucler différentes clés de chiffrement/digests et chiffrements sur les images du firmware Foscam IPC. https://github.com/mcw0/PoC/blob/master/decrypt-foscam.py

Désobfusquer les chaînes/login/mot de passe/clé crypto dans divers binaires et bibliothèques Foscam IPC https://github.com/mcw0/PoC/blob/master/deobfuscate-foscam.py

RCE et divulgation d'informations Vitek (et possiblement d'autres OEM) 0-day

2017-12-22

https://github.com/mcw0/PoC/blob/master/Vitek_RCE_and_information_disclosure.txt