PoC

PoCs diversos - Internet das Coisas (In)Seguras

Vale muito a pena ler sobre essas porcarias de (in)segurança: https://ipvm.com/reports/security-exploits

Hikvision CVE-2021-36260

2021-10-19

Todo o crédito para Watchful_IP (https://watchfulip.github.io/)

https://github.com/mcw0/PoC/blob/master/CVE-2021-36260.py

Dahua CVE-2021-33044, CVE-2021-33045

2021-10-06

Detalhes: https://github.com/mcw0/PoC/blob/master/Dahua%20authentication%20bypass.txt

PoC: https://github.com/mcw0/DahuaConsole

2021-09-06

Dois bypass de autenticação independentes.

Devido ao altíssimo potencial de outro "Dahua mass hack", manterei os detalhes de Full Disclosure até 6 de outubro de 2021.

Recomendo fortemente atualizar o firmware até lá.

https://www.dahuasecurity.com/support/cybersecurity/details/957

Dahua DES/3DES criptografia/descriptografia, vazamentos de credenciais NetSDK, chaves/senhas Cloud, PoC DHP2P

2020-05-09

• Implementação de autenticação DES/3DES (quebrada) da Dahua e PSK
• Vulnerabilidade: Dahua NetSDK vazando credenciais (primeiros 8 caracteres) de todos os clientes na solicitação REALM ao usar os protocolos DVRIP e DHP2P
• PoC: Adicionado um simples listener DVRIP TCP/37777 para exibir credenciais descriptografadas em texto claro
• Vulnerabilidade: vazamento de credenciais no protocolo Dahua DHP2P Cloud
• Vulnerabilidade: chaves/senhas DHP2P Cloud codificadas (hardcoded) para 23 provedores diferentes
• PoC: Acesso a dispositivos dentro da DHP2P Cloud. PoC feito apenas para Dahua IMOU

https://github.com/mcw0/PoC/blob/master/Dahua-3DES-IMOU-PoC.py

Atualização: Dahua-JSON-Debug-Console-v2.py

2020-02-29

• Adicionada a opção 'setDebug'; deve começar a produzir saída do Debug Console em VTO/VTH
• Adicionado '--discover', busca multicast de dispositivos ou sondagem direta (--rhost 192.168.57.20) do dispositivo via UDP/37810
• Adicionado '--dump {config,service}' para extrair configuração ou serviços do host remoto sem entrar no Debug Console

https://github.com/mcw0/Tools/blob/master/Dahua-JSON-Debug-Console-v2.py

Atualização

2020-02-15

Contato estabelecido durante esta semana com o Dahua PSIRT; detalhes, PoC e evidências para 23 fornecedores de nuvem diferentes foram fornecidos. Também seguirei a nova diretriz do Google Zero 'Policy and Disclosure: 2020 Edition' (já que faz sentido para mim), ou seja, publicarei após 90 dias, independentemente de a Dahua lançar atualizações antes ou depois de 09.05.2020 19:00 UTC (9 de maio de 2020 19:00 UTC).

Dahua, por favor, corrija e disponibilize atualizações antes dessa data...

Referência: Google Zero 'Policy and Disclosure: 2020 Edition': https://googleprojectzero.blogspot.com/2020/01/policy-and-disclosure-2020-edition.html

Há poucas horas

2020-02-10

Acabei de divulgar ao Dahua PSIRT vazamentos de credenciais (que acabam em texto claro) do Dahua SDK; vamos ver como eles vão receber essa informação. Bem ruim quando há +20 provedores de nuvem diferentes envolvidos... 90 dias contando a partir de hoje.

Ferramentas

2020-01-20

Novo repositório criado onde pretendo publicar algumas ferramentas.

https://github.com/mcw0/Tools

Primeiro lançamento: Dahua-JSON-Debug-Console-v2.py

• Portado para Python 3
• Corrigidos alguns bugs e ajustes de código
• Adicionado suporte para DVRIP (TCP/37777) [Nota: Alguns comandos JSON que funcionam com DHIP não retornam nada com DVRIP]
• encode/decode em latin-1, podemos precisar de caracteres intactos entre 0x00 - 0xff
• Melhor 'debug' com hexdump como opção

Axis Communications

2019-10-06 (coisas antigas)

Detectar anonimamente o Modelo e a versão de Firmware de dispositivos Axis (1998 - 2019).

https://github.com/mcw0/PoC/blob/master/axis-detect.py

PoC do Realtek Managed Switch Controller (RTL83xx)

2019-08-20

https://github.com/mcw0/PoC/blob/master/Realtek-RTL83xx-PoC.py

Várias vulnerabilidades em múltiplos switches de rede

2019-08-06

https://www.vdoo.com/blog/disclosing-significant-vulnerabilities-network-switches

Todos os detalhes técnicos juntamente com o PoC em Python serão postados aqui em 20 de agosto de 2019.

LifeSafety Power

2019-05-15

Múltiplos Stack Overflow, RCE, divulgação de usuário/senha em texto claro e mais

https://github.com/mcw0/PoC/blob/master/LifeSafetyPower-Netlink-PoC.py

Dahua DHIP JSON Debug Console (autenticado)

2019-04-10

Este script usará o protocolo binário P2P 'DHIP' da Dahua, que funciona nas portas HTTP/HTTPS normais e TCP/5000

Anexará ao 'Debug Console' interno dos dispositivos Dahua usando JSON (mesmo tipo do antigo debug em TCP/6789)

https://github.com/mcw0/PoC/blob/master/Dahua-DHIP-JSON-Debug-Console.py

Divirtam-se, bashis

VDOO

2019-01-23

Saudações, há muito tempo sem publicar...

Ainda estou por aqui e fazendo minha pesquisa, mas a novidade é que também estou tentando trabalhar com a VDOO (https://www.vdoo.com/) para gestão de fornecedores, e isso infelizmente atrasou um pouco meu processo de Full Disclosure...

De qualquer forma, várias pesquisas interessantes virão como Full Disclosure aqui no meu GitHub.

Com a colaboração da VDOO, posso trabalhar com o que gosto de fazer e não perder tempo com os fornecedores que (não querem | não entendem | querem ignorar | querem atrasar | tanto faz).

As mais recentes são algumas coisas da Reolink (https://reolink.com/), que você encontrará aqui: https://www.vdoo.com/blog/working-with-the-community-%E2%80%93-significant-vulnerabilities-in-reolink-cameras/.

AVTECH Corporation

2018-06-18

AVTECH {DVR/NVR/IPC} Heap Overflow, API IPCP, RCE

https://github.com/mcw0/PoC/blob/master/Avtech_Undocumented_API_and_RCE.txt

https://github.com/mcw0/PoC/blob/master/AVTECH-IPCP-RCE.py

Reolink Digital Technology Co., Ltd.

2018-06-03

Reolink {IPC} RCE (Autenticado)

https://github.com/mcw0/PoC/blob/master/Reolink-IPC-RCE.py

Shenzhen TVT Digital Technology Co. Ltd

2018-04-09

Shenzhen TVT Digital Technology Co. Ltd & OEM {DVR/NVR/IPC} RCE via API https://github.com/mcw0/PoC/blob/master/TVT_and_OEM_IPC_NVR_DVR_RCE_Backdoor_and_Information_Disclosure.txt https://github.com/mcw0/PoC/blob/master/TVT-PoC.py

AVTECH

2018-03-05

AVTECH {DVR/NVR/IPC} RCE Autenticado

https://github.com/mcw0/PoC/blob/master/AVTECH-RCE.py

Geovision Inc.

2018-02-01

Geovision Inc. Câmera IP/Vídeo/Controle de Acesso - Execução Remota Múltipla de Comandos - Múltiplos Stack Overflow - Double free - Acesso Não Autorizado https://github.com/mcw0/PoC/blob/master/Geovision%20IP%20Camera%20Multiple%20Remote%20Command%20Execution%20-%20Multiple%20Stack%20Overflow%20-%20Double%20free%20-%20Unauthorized%20Access.txt

PoC de Execução Remota de Comandos em Câmera IP e Servidor de Vídeo da Geovision Inc. https://github.com/mcw0/PoC/blob/master/Geovision-PoC.py

Herospeed

2018-01-22

Daemon TelnetSwitch da Herospeed rodando em TCP/787, para permitir a ativação do telnetd. Onde um pequeno stack overflow nos permite sobrescrever a senha gerada dinamicamente e ativar o telnetd. https://github.com/mcw0/PoC/blob/master/Herospeed-TelnetSwitch.py

Foscam

2018-01-15

Pequeno wrapper OpenSSL para iterar diferentes chaves de criptografia/digest e cifra em imagens de Firmware IPC Foscam. https://github.com/mcw0/PoC/blob/master/decrypt-foscam.py

Desofuscar strings/login/senha/cryptokey em vários binários e libs Foscam IPC https://github.com/mcw0/PoC/blob/master/deobfuscate-foscam.py

Vitek RCE e Divulgação de Informações (e possivelmente outros OEM) 0-day

2017-12-22

https://github.com/mcw0/PoC/blob/master/Vitek_RCE_and_information_disclosure.txt

Remote Stack Format String no binário 'nsd' de múltiplos OEM (0-day)

2017-12-14

https://github.com/mcw0/PoC/blob/master/Remote_Stack_Format_String_multiple%20OEM.txt

Imagem aqui: http://62.43.36.107:50021/Public/CCTV/GWSecu/GWSecu%20Updater%20para%20c%C3%A1maras/Firmware%20para%20c%C3%A1mara%20domo/

Prova de Conceito de Backdoor Format String sem travamento

2017-12-05