Shell 元字符 (`;`, `|`, `&`, `` ` ``, `$()`, `&&`, `||`, 换行符) 允许 **命令终止** 和 **任意辅助命令**。

### 为何 CVSS 10.0 是合理的

已发布向量中的每个 CVSS 4.0 影响指标均为 **高**，包括 **后续系统** 影响：

| 属性 | 值 | 含义 |
|---|---|---|
| `AV:N` | 网络 | 可进行广域网利用 |
| `AC:L` | 低复杂度 | 单个精心构造的 HTTP 请求 |
| `AT:N` | 无特殊攻击要求 | 默认部署即可利用 |
| `PR:N` | 无权限 | 无需账户 |
| `UI:N` | 无需用户交互 | 完全自动化利用 |
| `VC/VI/VA:H` | EIMS 主机上完整的 CIA | 完全沦陷 |
| `SC/SI/SA:H` | 后续系统高 | EIMS 是中央集成枢纽 |

这是 CVSS 4.0 下所能发布的最高严重程度评分之一。

### EIMS 架构背景（运营方面）

EIMS 通常**集中式**部署于安全架构中：```
[Internet / WAN] ──?──> [EIMS Application Server]
                              │
              ┌───────────────┼───────────────┐
              ▼               ▼               ▼
         [Directory]    [Access DB]     [Device APIs]
              │               │               │
              └───────────────┴───────────────┘
                              │
                    [Cameras / Doors / Alarms]

### 对易受攻击系统的影响```
Vuln Confidentiality:     None     Low      [High]
Vuln Integrity:           None     Low      [High]
Vuln Availability:        None     Low      [High]

---

## CWE 分类

| # | CWE ID | 名称 | 相关性 |
|---|---|---|---|
| 1 | **CWE-78** | [对操作系统命令中特殊元素的中和不适当（'操作系统命令注入'）](https://cwe.mitre.org/data/definitions/78.html) | `captureCommand` 未经中和直接传递给操作系统命令执行 |

### 相关弱点（上下文）

| CWE | 名称 | 关系 |
|---|---|---|
| CWE-77 | 命令注入（通用） | 父类别 |
| CWE-306 | 关键功能缺少身份验证 | 危险处理程序未经认证即可访问 |
| CWE-20 | 不适当的输入验证 | 根本的验证失败 |
| CWE-434 | 不受限制的上传 | 可能的后续利用，非核心CVE |

---

## 攻击前提条件

| 前提条件 | 必需？ | 说明 |
|---|---|---|
| 有效的 EIMS 凭据 | **否** | 无需认证 |
| 受害者用户交互 | **否** | 单个 HTTP 请求即可 |
| 先前被攻陷 | **否** | 独立利用 |
| 网络可达 EIMS HTTP(S) | **是** | 可访问 `capture_handle.action` |
| 漏洞版本（`< 2240008`） | **是** | 已修补版本不受影响 |
| 互联网暴露 | **无需** | LAN/WAN/VPN 可达的实例同样面临风险 |

**可远程利用：** **是**

---

## 利用场景

### 场景 1 — 暴露于互联网的 EIMS（Shodan / ZoomEye）

攻击者在互联网扫描引擎上枚举 `app="Dahua EIMS"` 主机，向 `capture_handle.action` 传递命令注入，部署 WebShell 或反弹 Shell，并窃取企业安全数据库。

### 场景 2 — 勒索软件运营者的大规模活动

自动化扫描器识别易受攻击的实例。攻击者加密 EIMS 主机及连接的共享文件，索要赎金，同时物理门禁控制和访客管理集成处于离线状态。

### 场景 3 — 从边界突破进行横向移动

攻击者攻陷了 DMZ Web 服务器，跳转到共享管理 VLAN 上内部可达的 EIMS 实例，并利用存储在主机上的 EIMS 凭据/API 密钥与下游的门控制器和摄像头交互。

### 场景 4 — 无内应的间谍活动

国家行为体或犯罪行为人静默地窃取人员出入日志、访客记录和建筑地图，而无需重启服务——通过 cron/systemd 后门维持长期持久性。

### 场景 5 — 供应链/集成商 MSP

一个托管服务提供商为数十个客户托管一个 EIMS 实例。单一攻陷影响该服务器上的 **所有租户**——这是一种集中的灾难性故障。

---

## 影响评估

### 技术影响

| 领域 | 评级 | 详情 |
|---|---|---|
| 机密性 | **高** | 典型的完整文件系统和数据库读取访问 |
| 完整性 | **高** | 任意文件写入、配置篡改、后门 |
| 可用性 | **高** | 终止进程、擦除数据、勒索软件 |
| 后续系统 | **高** | 集成凭据导致下游滥用 |

### 业务影响

| 行业 | 后果 |
|---|---|
| **企业园区** | 门禁绕过、访客数据泄露 |
| **政府/关键基础设施** | 物理安全中控制层面的突破 |
| **医疗** | 与 HIPAA 相关的访问日志暴露 |
| **教育** | 学生/员工安全系统被操控 |
| **集成商/MSP** | 单台主机导致多客户泄露 |

### 监管和法律风险

EIMS 被攻陷可能触发：

- 数据泄露通知义务（GDPR、各州隐私法等）
- 受监管行业的关键基础设施报告
- 与物理安全客户签订的合同 SLA 罚则

---

## 资产发现

### ZoomEye 查询

| 平台 | 查询语句 | 链接 |
|---|---|---|
| **ZoomEye** | `app="Dahua EIMS"` | [在 ZoomEye 上搜索](https://www.zoomeye.ai/searchResult?q=YXBwPSJEYWh1YSBFSU1TIg==) |

### 防护性资产盘点（仅限授权）

| 方法 | 操作 |
|---|---|
| **CMDB / 许可记录** | 列出所有 EIMS 安装及版本 |
| **虚拟机清单** | 在应用服务器上搜索 Dahua EIMS 软件包 |
| **反向代理配置** | 识别路由到 `capture_handle.action` 的上游 |
| **漏洞扫描器** | 使用已发布的签名运行供应商批准的检查 |
| **互联网攻击面** | 将 ZoomEye 结果与拥有的公网 IP 对比 |

> 仅扫描您拥有或明确授权测试的资产。

---

## 检测与入侵指标

### 网络指标

- HTTP `GET`/`POST` 到 **`/capture_handle.action`** 或路径后缀匹配
- 包含 **`captureCommand=`** 的请求，并带有 Shell 元字符或编码等效字符（`%3B`、`%7C`、`%26`、`%24`、`` %60 ``、`%0A`）
- **4xx/5xx** 响应激增，随后 EIMS 主机出现 **新的出站连接**
- 异常 HTTP 请求后，应用服务器出现意外的 **DNS 查询** 或 **信标行为**

### 主机指标

- EIMS 服务器上出现新的 **cron 作业**、**计划任务** 或 **systemd 单元**
- Tomcat/webapp 目录中出现意外的 **Web Shell**
- **新增本地用户** 或 **SSH authorized_keys** 修改
- **java** 或 **tomcat** 进程衍生出 `/bin/sh`、`cmd.exe`、`powershell`、`bash`
- EIMS 主机上的防病毒/EDR 警报与 Web 访问日志相关联

### 应用日志模式

- `capture_handle.action` 从 **不熟悉的源 IP** 访问
- **高频** 相同请求（扫描器行为）
- 在可疑的 `captureCommand` 值之后，命令包装工具出现错误

### 威胁情报源

监控以下内容：

- CNVD-2024-17054 / CVE-2024-13985 签名
- Nuclei 模板匹配（存在公开模板——仅用于 **授权** 扫描）
- SIEM 规则标记 Dahua EIMS 利用尝试

### 推荐的紧急查询（SIEM）```
# Example patterns — adapt to your log schema
url:"capture_handle.action" AND captureCommand:*
url:"capture_handle.action" AND (captureCommand:*;* OR captureCommand:*|* OR captureCommand:*&*)