PoC

PoC vari - Internet delle cose (in)sicure

Vale davvero la pena leggere queste schifose cose (in)sicure: https://ipvm.com/reports/security-exploits

Hikvision CVE-2021-36260

2021-10-19

Tutto il merito a Watchful_IP (https://watchfulip.github.io/)

https://github.com/mcw0/PoC/blob/master/CVE-2021-36260.py

Dahua CVE-2021-33044, CVE-2021-33045

2021-10-06

Dettagli: https://github.com/mcw0/PoC/blob/master/Dahua%20authentication%20bypass.txt

PoC: https://github.com/mcw0/DahuaConsole

2021-09-06

Due bypass di autenticazione indipendenti.

A causa dell'altissimo potenziale di un altro "Dahua mass hack", terrò i dettagli della Full Disclosure fino al 6 ottobre 2021.

Consiglio vivamente di aggiornare il firmware fino ad allora.

https://www.dahuasecurity.com/support/cybersecurity/details/957

Dahua DES/3DES cifratura/decifratura, leak di credenziali NetSDK, chiavi/password Cloud, PoC DHP2P

2020-05-09

• Implementazione dell'autenticazione Dahua DES/3DES (insicura) e PSK
• Vulnerabilità: Dahua NetSDK perde le credenziali (primi 8 caratteri) di tutti i client nella richiesta REALM quando si utilizzano i protocolli DVRIP e DHP2P
• PoC: aggiunto un semplice listener DVRIP TCP/37777 per visualizzare le credenziali decifrate in chiaro
• Vulnerabilità: perdita di credenziali nel protocollo Cloud DHP2P di Dahua
• Vulnerabilità: chiavi/password Cloud DHP2P hardcoded per 23 diversi provider
• PoC: accesso ai dispositivi all'interno del Cloud DHP2P. PoC realizzato solo per Dahua IMOU

https://github.com/mcw0/PoC/blob/master/Dahua-3DES-IMOU-PoC.py

Aggiornamento: Dahua-JSON-Debug-Console-v2.py

2020-02-29

• Aggiunta l'opzione 'setDebug'; dovrebbe iniziare a produrre output dalla Debug Console in VTO/VTH
• Aggiunto '--discover', ricerca multicast dei dispositivi o sonda diretta (--rhost 192.168.57.20) del dispositivo via UDP/37810
• Aggiunto '--dump {config,service}' per esportare configurazione o servizi su host remoto senza entrare nella Debug Console

https://github.com/mcw0/Tools/blob/master/Dahua-JSON-Debug-Console-v2.py

Aggiornamento

2020-02-15

Contatto stabilito nel corso di questa settimana con Dahua PSIRT; sono stati forniti dettagli, PoC e prove per 23 diversi fornitori cloud. Seguirò anche il nuovo esperimento di Google Zero 'Policy and Disclosure: 2020 Edition' (dato che per me ha senso), il che significa che pubblicherò dopo 90 giorni, indipendentemente dal fatto che Dahua rilasci aggiornamenti prima o dopo il 09.05.2020 19:00 UTC (9 maggio 2020 19:00 UTC).

Dahua, per favore risolvete e rendete disponibili gli aggiornamenti prima di questa data...

Riferimento: Google Zero 'Policy and Disclosure: 2020 Edition': https://googleprojectzero.blogspot.com/2020/01/policy-and-disclosure-2020-edition.html

Poche ore fa

2020-02-10

Ho appena divulgato a Dahua PSIRT le perdite di credenziali (che finiscono in chiaro) dell'SDK Dahua; vediamo come prenderanno questa informazione. Abbastanza grave quando ci sono più di 20 diversi provider cloud coinvolti... 90 giorni che decorrono da oggi.

Strumenti

2020-01-20

Creato un nuovo repository dove ho intenzione di pubblicare alcuni strumenti.

https://github.com/mcw0/Tools

Primo rilascio: Dahua-JSON-Debug-Console-v2.py

• Portato a Python 3
• Corretti alcuni bug e aggiustato il codice
• Aggiunto supporto per DVRIP (TCP/37777) [Nota: alcuni comandi JSON che funzionano con DHIP non restituiscono nulla con DVRIP]
• encode/decode in latin-1, potremmo aver bisogno di caratteri non modificati tra 0x00 - 0xff
• Migliore 'debug' con hexdump come opzione

Axis Communications

2019-10-06 (vecchia roba)

Rileva in modo anonimo il modello e la versione del firmware dei dispositivi Axis (1998 - 2019).

https://github.com/mcw0/PoC/blob/master/axis-detect.py

PoC del controller degli switch gestiti Realtek (RTL83xx)

2019-08-20

https://github.com/mcw0/PoC/blob/master/Realtek-RTL83xx-PoC.py

Diverse vulnerabilità in molti switch di rete

2019-08-06

https://www.vdoo.com/blog/disclosing-significant-vulnerabilities-network-switches

Tutti i dettagli tecnici insieme al PoC in Python saranno pubblicati qui il 20 agosto 2019.

LifeSafety Power

2019-05-15

Stack overflow multipli, RCE, divulgazione di nome utente/password in chiaro e altro

https://github.com/mcw0/PoC/blob/master/LifeSafetyPower-Netlink-PoC.py

Dahua DHIP JSON Debug Console (autenticato)

2019-04-10

Questo script userà il protocollo binario P2P 'DHIP' di Dahua, che funziona sulle normali porte HTTP/HTTPS e su TCP/5000

Si collegherà alla 'Debug Console' interna dei dispositivi Dahua usando JSON (stesso tipo del vecchio debug su TCP/6789)

https://github.com/mcw0/PoC/blob/master/Dahua-DHIP-JSON-Debug-Console.py

Divertitevi, bashis

VDOO

2019-01-23

Saluti, è passato molto tempo senza pubblicazioni ...

Sono ancora in giro e porto avanti le mie ricerche, ma la novità è che sto anche cercando di collaborare con VDOO (https://www.vdoo.com/) per la gestione dei rapporti con i vendor, e questo ha purtroppo ritardato un po' il mio processo di Full Disclosure ...

Comunque, diverse ricerche interessanti in arrivo come Full Disclosure qui sul mio GitHub.

Con la collaborazione con VDOO posso dedicarmi a ciò che mi piace fare, senza perdere tempo con i vendor che (non vogliono | non capiscono | vogliono ignorare | vogliono ritardare | qualsiasi cosa).

Le ultime sono alcune cose su Reolink (https://reolink.com/), che troverete qui: https://www.vdoo.com/blog/working-with-the-community-%E2%80%93-significant-vulnerabilities-in-reolink-cameras/.

AVTECH Corporation

2018-06-18

AVTECH {DVR/NVR/IPC} Heap Overflow, API IPCP, RCE

https://github.com/mcw0/PoC/blob/master/Avtech_Undocumented_API_and_RCE.txt

https://github.com/mcw0/PoC/blob/master/AVTECH-IPCP-RCE.py

Reolink Digital Technology Co., Ltd.

2018-06-03

Reolink {IPC} RCE (autenticato)

https://github.com/mcw0/PoC/blob/master/Reolink-IPC-RCE.py

Shenzhen TVT Digital Technology Co. Ltd

2018-04-09

Shenzhen TVT Digital Technology Co. Ltd e OEM {DVR/NVR/IPC} API RCE https://github.com/mcw0/PoC/blob/master/TVT_and_OEM_IPC_NVR_DVR_RCE_Backdoor_and_Information_Disclosure.txt https://github.com/mcw0/PoC/blob/master/TVT-PoC.py

AVTECH

2018-03-05

AVTECH {DVR/NVR/IPC} RCE autenticato

https://github.com/mcw0/PoC/blob/master/AVTECH-RCE.py

Geovision Inc.

2018-02-01

Geovision Inc. IP Camera/Video/Access Control - Esecuzioni remote di comandi multiple - Stack overflow multipli - Double free - Accesso non autorizzato https://github.com/mcw0/PoC/blob/master/Geovision%20IP%20Camera%20Multiple%20Remote%20Command%20Execution%20-%20Multiple%20Stack%20Overflow%20-%20Double%20free%20-%20Unauthorized%20Access.txt

PoC di esecuzione remota di comandi su IP Camera e Video Server Geovision Inc. https://github.com/mcw0/PoC/blob/master/Geovision-PoC.py

Herospeed

2018-01-22

Il demone TelnetSwitch di Herospeed in esecuzione su TCP/787, per consentire l'attivazione di telnetd. Dove un piccolo stack overflow ci permette di sovrascrivere la password generata dinamicamente e abilitare telnetd. https://github.com/mcw0/PoC/blob/master/Herospeed-TelnetSwitch.py

Foscam

2018-01-15

Piccolo wrapper OpenSSL per iterare diverse chiavi di cifratura/digest e cifrari sulle immagini del firmware delle IPC Foscam. https://github.com/mcw0/PoC/blob/master/decrypt-foscam.py

Deoffuscare stringhe/login/password/chiave crittografica in vari binari e librerie delle IPC Foscam https://github.com/mcw0/PoC/blob/master/deobfuscate-foscam.py

0-day di RCE e Information Disclosure su Vitek (e possibilmente altri OEM)

2017-12-22

https://github.com/mcw0/PoC/blob/master/Vitek_RCE_and_information_disclosure.txt

Format String remota sullo stack nel binario 'nsd' di molteplici OEM (0-day)

2017-12-14

https://github.com/mcw0/PoC/blob/master/Remote_Stack_Format_String_multiple%20OEM.txt