CVE-2017-7921 — 海康威视 IP 摄像头 / DVR / NVR

身份验证不当 — 通过构造的查询参数实现权限提升

---

1. 执行摘要

CVE-2017-7921 是一个严重的不当身份验证漏洞，影响海康威视网络摄像头、DVR 和 NVR 固件中的 Web 服务器组件。该漏洞允许远程、未经过身份验证的攻击者通过向特定 HTTP 请求路径附加一个特制的、静态定义的查询参数，完全绕过设备的登录机制。由于身份验证检查信任此参数而非验证会话或凭证集，任何携带此参数的请求都被视为来自特权内部进程。

成功利用将获得设备 Web 界面的完全管理权限，包括实时和录制的视频流、设备配置、用户账户数据，并且在许多固件分支上，能够下载完整设备配置文件，而该文件本身包含弱加密的存储凭证。该漏洞不需要用户交互、不需要事先认证、也不需要非标准网络位置，加之海康威视安装基数庞大，自披露以来，它已成为僵尸网络招募（例如 Reaper/IoTroop 系列活动）和监控源窃取的持续目标。

2. 受影响产品

该漏洞在多个海康威视产品系列中得到确认，其固件版本早于 2017 年安全补丁。代表性的受影响产品线包括：

• DS-2CD2xx2F-I 系列 — 固件 V5.2.0（build 140721）至 V5.4.0（build 160530）
• DS-2CD2xx0F-I 系列 — 固件 V5.2.0（build 140721）至 V5.4.0（build 160401）
• DS-2CD2xx2FWD 系列 — 固件 V5.3.1（build 150410）至 V5.4.4（build 161125）
• DS-2CD4x2xFWD 系列 — 固件 V5.2.0（build 140721）至 V5.4.0（build 160414）
• DS-2CD4xx5 系列 — 固件 V5.2.0（build 140721）至 V5.4.0（build 160421）
• DS-2DFx PTZ 系列 — 固件 V5.2.0（build 140805）至 V5.4.5（build 160928）
• DS-2CD63xx 系列以及共享相同 Web 服务器代码的选定 NVR/DVR 产品线

海康威视还指出本 CVE 存在一个持续性问题：大量通过非授权分销渠道销售的“灰色市场”设备运行的是经过修改的非海康威视固件。标准固件更新无法可靠修复这些设备，在某些情况下甚至会导致界面回退而非修复。

3. 技术分析

3.1 根本原因

标准海康威视设备认证基于 HTTP 基本/摘要认证保护 Web 管理界面。然而，在受影响固件中，部分内部请求处理端点包含一个次要的、未记录的认证路径，供内部/调试使用。此路径不执行凭证查找——它检查请求中是否存在一个固定的、硬编码的令牌，如果存在，则将请求视为已预认证，完全绕过正常的基于角色的访问控制（RBAC）检查。

该令牌是固件中嵌入的静态默认凭证对的 Base64 编码表示。由于它是一个常量而非派生的会话值，因此无论设备上实际配置的管理员密码如何，所有受影响设备上的令牌都相同——更改管理员密码并不能缓解该漏洞。

3.2 利用路径

在高层面上，利用遵循以下序列：

1. 攻击者识别出一个可访问的海康威视设备（通常通过 Shodan/Censys 对暴露的 Web 管理端口进行指纹识别）。
2. 向已知的受影响端点发送一个精心构造的 HTTP GET 请求，将静态认证令牌作为查询参数附加，而不是提供用户名/密码。
3. 受影响固件的请求处理器验证令牌而不是会话或凭证，并以管理员权限处理请求。
4. 攻击者现在可以枚举和修改设备配置、查看实时/录制流，并在受影响版本上检索完整配置导出，该导出存储了额外的账户凭证，这些凭证在弱静态密钥加密下可离线逆向破解。

不涉及内存损坏、缓冲区溢出或客户端交互；整个攻击仅是一个精心构造的无状态 HTTP 请求，这使得它极易编写脚本并被扫描器识别。

3.3 持久性原因

三个因素导致该 CVE 在实际暴露中具有异常长的尾效应：

• 设备通常部署后不再进行固件更新，尤其在住宅和小型企业安装中。
• 运行非授权固件的灰色市场设备通常无法通过官方渠道进行修补。
• 该漏洞易于索引——由于利用仅需一个未认证的 HTTP 请求，批量扫描工具可以廉价地枚举整个 IPv4 空间中的受影响主机，这正是它被用于物联网僵尸网络招募的方式。

4. 影响

5. 检测与指标

• 向设备管理端点发出的未认证 HTTP GET 请求，附带有类似于 Base64 编码凭证字符串的非用户查询参数。
• 从未完成标准基本/摘要认证的会话中发出的配置导出请求（例如，设备配置/备份文件检索）。
• 摄像头/NVR 设备出现与僵尸网络心跳流量一致的意外出站连接（设备被批量利用后的常见辅助指标）。
• 厂商与第三方检测内容：Check Point IPS 签名 CPAI-2017-0876、Tenable.ot 插件 tenable_ot_hikvision_CVE-2017-7921.nasl 以及 CISA/ICS-CERT 公告 ICSA-17-124-01。

6. 修复措施

• 针对具体产品/型号，更新至修复此公告的海康威视固件版本——请通过海康威视官方固件门户验证，而非第三方镜像。
• 切勿将设备 Web 管理界面直接暴露在互联网上；将摄像头/NVR 置于 VPN（例如 WireGuard）之后或隔离 VLAN 中，且不进行入站 WAN 端口转发。
• 在路由器/设备上禁用 UPnP，以防止摄像头在端口刚被关闭后又自动重新打开。
• 修补后轮换所有设备凭证，因为之前被利用的设备可能已被窃取配置文件并离线解密。
• 对于无法通过官方渠道修补的灰色市场或非授权固件设备，应隔离或停用设备，而不是依赖固件更新。
• 在无法立即修补的网络中，将第 5 节中的检测指标作为补偿控制进行监控。

7. 概念验证

CVE-2017-7921 的工作 PoC 由 Jared Brits (K3ysTr0K3R) 编写，并维护在 github.com/K3ysTr0K3R/CVE-2017-7921-EXPLOIT。按照负责任披露惯例，本技术分析不嵌入漏洞利用源码、实时目标输出或捕获的凭证/画面。

[ 留出位置，供在您拥有或明确授权测试的设备上放置 PoC 截图——例如，隔离的家庭实验室虚拟机/摄像头，不使用 proxychains，无第三方目标，无来自实际部署的实时画面。 ]

8. 参考资料

• CISA / ICS-CERT 公告 ICSA-17-124-01 — 海康威视 IP 摄像头身份验证不当。
• NVD — CVE-2017-7921 详情，nvd.nist.gov。
• Check Point 研究公告 CPAI-2017-0876 — 海康威视 IP 摄像头认证绕过。
• Tenable.ot 插件 — tenable_ot_hikvision_CVE-2017-7921.nasl。
• Jared Brits (K3ysTr0K3R)，CVE-2017-7921-EXPLOIT — 概念验证与负责任披露说明，GitHub。

9. 致谢

• 漏洞利用 / PoC： Jared Brits (K3ysTr0K3R) — github.com/K3ysTr0K3R/CVE-2017-7921-EXPLOIT
• 技术分析： MK-ULTRA — github.com/MK-ULTRA-project-monarch
• Instagram： @projectmonarch_mk_ultra

---

为协作研究文档准备。本技术分析涵盖漏洞机制、影响、检测和修复，用于防御和教育参考；不包含可直接运行的漏洞利用代码或来自未经授权目标的证据。