当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-024933

漏洞标题:小型APT之看我如何入侵电视

相关厂商:天威视讯

漏洞作者: Hxai11

提交时间:2013-06-01 12:19

修复时间:2013-07-16 12:20

公开时间:2013-07-16 12:20

漏洞类型:成功的入侵事件

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-06-01: 细节已通知厂商并且等待厂商处理中
2013-06-06: 厂商已经确认,细节仅向厂商公开
2013-06-16: 细节向核心白帽子及相关领域专家公开
2013-06-26: 细节向普通白帽子公开
2013-07-06: 细节向实习白帽子公开
2013-07-16: 细节向公众公开

简要描述:

小型APT

详细说明:

这么多年来,我只看国少许的对于电视机的入侵,现在在这个日益智能化的是时代里,什么都智能,什么都联网,这就对看似安全的智能化生活埋下了隐患,这次就针对天威视讯的机顶盒进行电视机的渗透。。不要惊奇,就是电视机。。
关于天威视讯的介绍,深圳几乎一半的电视终端都是使用天威视讯的,庞大的用户量,一旦发生问题,后果严重。。
首先,这次渗透也是我突发奇想,看到电视机里有个ip设置的选项,和机顶盒背后那个网线插口二萌生的,我就在想,如果将网线插入电脑,会不会获取到一样的ip?于是我将插入电脑,这个时候我发现,如果你的机顶盒开机后插入网线到电脑,获取不到ip的,一定要将机顶盒关机后,插入网线,之后在开启机顶盒就能够正常获取到ip网关等一系列的信息,于是。。之后大型的渗透就开始了。。。
上张机顶盒背后的图

P30525-101818.jpg


真是智能化啊。
于是我查看了ip

捕获.PNG


Ip是以10.97.143这个段,而网关是10.97.128.1,dhcp服务器则是192.168.222.105,dns是172.18.50.11和172.16.129.12,看到此画面的时候,我知道,这是个超级大的局域网,在电视中测试的时候,本来以为能够连接到外网,其实是这样的,如此便于生活的机顶盒,里面包含了很多便民服务,我在想,便民服务,如汽车违规查询,那查询应该是要连接外网的,但是在我实际测试之中,我发现,其实是这样的,我们本机利用遥控板点开查询页面,看是连接到了外网,其实呢,是连接到了天威自己制作的一个查询页面,当然,这个查询页面的服务器是连接外网的,也就是说,你本身10.97.143.254这个ip是不能够连接外网的,在我电脑上测试就证明了这点

gt.PNG


Ping 了百度的域名,ip,和qq的域名,浏览器里也测试了是否能够访问,都不行,由此可以初步判断是这样的,那我们该从和处开始下手呢,我选择就从本机的ip段开始探索
我将10.97.143这个段填入IISPUT中进行对端口80,8080,23,22的扫描。。。

sddf.PNG


看到了吗,都是80端口,23端口,我随即打开了一个页面查看

dddf.PNG


要求验证,试了试常用的弱口令,都不能够登陆,我们现在可以推断,这些扫描肯定是跟电有关的,正在我郁闷的时候,想起了上面扫描的23端口可以测试,用telnet测试连接

捕dgsd.PNG


Ok,可以连接,我猜测了常用的默认密码等。。终于在我尝试到root 空密码的时候成功了,我擦,郁闷死我。。。
登陆成功

vfd.PNG


初步推测应该是智能机顶盒的终端。。。但是在随后的测试中,我发现,我错了。。。,通过web访问得知,需要登录,那就应该是路由器之类的。。不急,我首先阅遍了终端下的所有文件,找寻进一步渗透的游泳的东西。。之后我突然发现了这个。。看

dfgfg.PNG


看到了吗,action,心里想,肯定存在Struts命令执行漏洞,于是,丢进利用工具里跑,与此同时,我发现了进入路由的方法,其实天威的验证做的很坑爹,天威的web验证界面其实就只是针对了home.asp这个页面而已,其他任何页面目录都形同虚设所以我们可以找到更改密码的地方,直接修改admin密码
adm/management.asp 这个页面是修改密码的

fgf.PNG


看到了吗

scvdd.PNG


我初步扫描了一下,最少都有1000多台,我们可以利用此漏洞控制成千甚至上万的无线路由器,危害可想而知
我们回到那个Struts漏洞上来,我测试了一些,存在Struts命令执行漏洞。我擦,人品大爆发,好玩的来了,兴奋

sdsdvd.PNG


P30526-104350.jpg


你知道我为什么看到这张图兴奋吗?因为这是电视机上显示的画面,一些未交钱的电视节目就是这个提示,这样我们就能够成功修改标题,入侵电视的目的达到

dfgvfd.PNG


继续进一步渗透由此从dhcp服务器着手
本机的dhcp服务器是192.168.222.105,我抱着试试的心态扫描了一下关于192.168.222.105这个网段的ip,看看有什么可以利用的。。

asslp.PNG


哇塞,兴奋了,这么多ip,直到我找到这个ip

sdss.PNG


看到没有,又是一个action后缀的文件,赶紧放工具里面跑跑看,有没有Struts命令执行漏洞,事实表明,有的,于是赶紧跑出登陆用户名和密码

dfdji.PNG


进来之后就觉得碉堡了,基本上,天威的所有ip我都能够查询的到

sgdf.PNG


gfhfg.PNG


能够查询到任意一台机顶盒的上线记录等。。为了进一步的渗透,我添加了一个管理员账户,之后登陆上3389之后,之后当我用administrator用户登陆之后,打开Navicat for Mysql软件的时候,众多数据库暴漏。

dsg.PNG


可想而知的危害。。看看这下载速度

asd.PNG


当我查看共享的时候,吓尿了。。。全是企业内部资料。。

sdfs.PNG


如果这些资料泄露不堪设想
看看这些

dvxr.PNG


全是ims设备。都能够登陆的。。
各种的信息泄露

123456.png


到这里,我们的渗透基本完成,但是还能够进一步深入,但是由于信息量实在太大,就不在wooyun上多说,算是个小型apt吧

漏洞证明:

修复方案:

安全意识,访问控制等。。

版权声明:转载请注明来源 Hxai11@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2013-06-06 00:50

厂商回复:

最新状态:

暂无