D-Link摄像头在野0-day漏洞分析报告
<!--kg-card-begin: markdown--><p><em>本文作者：<a href="https://twitter.com/_O_owl">马延龙</a>，<a href="https://twitter.com/zom3y3">叶根深</a></em></p>
<h3 id="">背景介绍</h3>
<p>2020年6月12号，@Dogonsecurity在推特上披露了这2个0-day漏洞部分细节[<a href="https://twitter.com/Dogonsecurity/status/1271265152118259712">1]</a> [<a href="https://twitter.com/Dogonsecurity/status/1273251236167516161">2]</a> ，并且互联网上已有这2个0-day漏洞PoC程序[<a href="https://pastebin.com/1WTDdKpR">3]</a>。</p>
<p>2020年7月4号，CNCERT物联网安全研究团队与360网络安全研究院共同分析，监测到有攻击者使用D-Link摄像头2个0-day漏洞，进行网络攻击活动。</p>
<p>2020年8月27号，D-Link针对这2个0-day漏洞事件更新了安全公告[<a href="https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10180">4]</a>，并推出固件升级程序v1.06.01。</p>
<p>目前，我们已经发现D-Link共有9款型号的摄像头存在这2个0-day漏洞, 并向D-Link报告了受影响的范围，另外还报告了固件升级程序v1.06.01存在的漏洞。</p>
<h3 id="">漏洞分析</h3>
<p>通过360 FirmwareTotal系统分析，D-Link摄像头2个在野0-day漏洞分别是：信息泄漏漏洞和命令注入漏洞，通过组合这2个漏洞，攻击者可以远程控制目标设备，威胁极高。</p>
<h4 id="">信息泄露漏洞分析</h4>
<p>漏洞类型：信息泄露<br>
漏洞原因：<code>/appro/execs/aHttpMain</code>程序在处理读取相关配置信息时并不需要登录认证，导致用户名、密码和软件版本等明文信息可被任意访问。<br>
<a href="__GHOST_URL__/content/images/2020/08/dlink_getuser.png"><img src="__GHOST_URL__/content/images/2020/08/dlink_getuser.png" class="kg-image"/></a></p>
<h4 id="">命令注入漏洞分析</h4>
<p>漏洞类型：命令注入<br>
漏洞原因：<code>/appro/execs/aHttpMain</code>程序在处理用户<code>/cgi-bin/ddns_enc.cgi</code>和<code>/cgi-bin/ddns.cgi</code>请求时，未对<code>account</code>参数进行过滤，即拼接为<code>ez-ipupdate</code>或<code>noip2</code>程序的参数并执行，造成命令注入漏洞。<br>
<a href="__GHOST_URL__/content/images/2020/08/dlink_noip.png"><img src="__GHOST_URL__/content/images/2020/08/dlink_noip.png" class="kg-image"/></a></p>
<p><a href="__GHOST_URL__/content/images/2020/08/dlink_ez_ipupdate.png"><img src="__GHOST_URL__/content/images/2020/08/dlink_ez_ipupdate.png" class="kg-image"/></a></p>
<h3 id="">已知受影响固件列表</h3>
<pre><code>DCS-2530L_A1_FW_V1.03.01
DCS-2530L_A1_FW_V1.04.01
DCS-2530L_Ax_FW_V1.04.01
DCS-2530L_REVA_FIRMWARE_1.03.01
DCS-2530L_REVA_FIRMWARE_v1.03.01
DCS-2530L_REVA_FIRMWARE_v1.04.01
DCS-2530L_REVA_FIRMWARE_v1.05.05
DCS-2530L_fw_revA1_1-03-01_eu_multi_20171108
DCS-2530L_fw_revAx_1-04-01_eu_multi_20180601
DCS-2670L_A1_FW_V2.01.031030103739
DCS-2670L_FIRMWARE_2.01.10
DCS-2670L_FW_v1.10.02
DCS-2670L_fw_revA1_1-10-02_eu_multi_20171108
DCS-2670L_fw_revA1_2-01-03_eu_multi
DCS-2670L_fw_revB1_2-01_eu_multi_20190710
DCS-4603_A1_FW_V1.03.04
DCS-4603_FW_V1.02.02
DCS-4603_REVA_FIRMWARE_1.02
DCS-4603_REVA_FIRMWARE_v1.02.02
DCS-4603_REVA_FIRMWARE_v1.03.04
DCS-4603_fw_revA1_1-02-02_eu_multi_20171103
DCS-4603_fw_revA1_1-03-04_eu_multi_20190422
DCS-4622_B1_FW_V2.00.04
DCS-4622_REVB_FIRMWARE_v2.00.04
DCS-4622_fw_revB1_2-00-04_eu_multi_20181109
DCS-4701E_B1_FW_V2.00.21_
DCS-4701E_VB1_FIRMWARE_v2.00.21
DCS-4703E_FW_V1.01.00
DCS-4703E_FW_V1.02.03
DCS-4703E_REVA_FIRMWARE_1.01
DCS-4703E_REVA_FIRMWARE_v1.01
DCS-4703E_REVA_FIRMWARE_v1.02.03
DCS-4703E_fw_revA1_1-01_eu_multi_20170929
DCS-4703E_fw_revA1_1-02-03_eu_multi_20190426
DCS-4705E_A1_FW_v1.00.12
DCS-4705E_A1_FW_v1.01.00
DCS-4705E_REVA_FIRMWARE_v1.00.12
DCS-4705E_REVA_FIRMWARE_v1.01.00
DCS-4705E_fw_revA1_1-00-12_eu_multi_20181205
DCS-4705E_fw_revA1_1-01-00_eu_multi_20190905
DCS-4802E_B1_FW_V2.00.09
DCS-4802E_REVB_FIRMWARE_v2.00.09
DCS-4802E_fw_revB1_2-00-09_eu_multi_20190422
DCS-P703_A1_FW_V1.01.00
</code></pre>
<h3 id="">处置建议</h3>
<p>我们建议D-Link摄像头用户及时检查并更新固件系统，同时检查是否存在异常进程和网络连接。<br>
我们建议读者对相关IP和URL进行监控和封锁。</p>
<h3 id="">联系我们</h3>
<p>感兴趣的读者，可以在 <a href="https://twitter.com/360Netlab"><strong>twitter</strong></a> 或者通过邮件<strong>netlab[at]360.cn</strong>联系我们。</p>
<h3 id="ioc">IoC</h3>
<p>Scanner IP</p>
<pre><code>106.59.222.2        	China               	ASN4134             	No.31,Jin-rong Street
</code></pre>
<p>Downloader IP</p>
<pre><code>103.138.12.202      	China               	ASN134176           	Rainbow network limited
</code></pre>
<p>URL</p>
<pre><code>http://103.138.12.202:8099/dlink
</code></pre>
<!--kg-card-end: markdown-->
本文作者：马延龙，叶根深



背景介绍


2020年6月12号，@Dogonsecurity在推特上披露了这2个0-day漏洞部分细节[1] [2] ，并且互联网上已有这2个0-day漏洞PoC程序[3]。


2020年7月4号，CNCERT物联网安全研究团队与360网络安全研究院共同分析，监测到有攻击者使用D-Link摄像头2个0-day漏洞，进行网络攻击活动。


2020年8月27号，D-Link针对这2个0-day漏洞事件更新了安全公告[4]，并推出固件升级程序v1.06.01。


目前，我们已经发现D-Link共有9款型号的摄像头存在这2个0-day漏洞, 并向D-Link报告了受影响的范围，另外还报告了固件升级程序v1.06.01存在的漏洞。



漏洞分析


通过360 FirmwareTotal系统分析，D-Link摄像头2个在野0-day漏洞分别是：信息泄漏漏洞和命令注入漏洞，通过组合这2个漏洞，攻击者可以远程控制目标设备，威胁极高。


信息泄露漏洞分析


漏洞类型：信息泄露

漏洞原因：/appro/execs/aHttpMain程序在处理读取相关配置信息时并不需要登录认证，导致用户名、密码和软件版本等明文信息可被任意访问。




命令注入漏洞分析


漏洞类型：命令注入

漏洞原因：/appro/execs/aHttpMain程序在处理用户/cgi-bin/ddns_enc.cgi和/cgi-bin/ddns.cgi请求时，未对account参数进行过滤，即拼接为ez-ipupdate或noip2程序的参数并执行，造成命令注入漏洞。








已知受影响固件列表


DCS-2530L_A1_FW_V1.03.01
DCS-2530L_A1_FW_V1.04.01
DCS-2530L_Ax_FW_V1.04.01
DCS-2530L_REVA_FIRMWARE_1.03.01
DCS-2530L_REVA_FIRMWARE_v1.03.01
DCS-2530L_REVA_FIRMWARE_v1.04.01
DCS-2530L_REVA_FIRMWARE_v1.05.05
DCS-2530L_fw_revA1_1-03-01_eu_multi_20171108
DCS-2530L_fw_revAx_1-04-01_eu_multi_20180601
DCS-2670L_A1_FW_V2.01.031030103739
DCS-2670L_FIRMWARE_2.01.10
DCS-2670L_FW_v1.10.02
DCS-2670L_fw_revA1_1-10-02_eu_multi_20171108
DCS-2670L_fw_revA1_2-01-03_eu_multi
DCS-2670L_fw_revB1_2-01_eu_multi_20190710
DCS-4603_A1_FW_V1.03.04
DCS-4603_FW_V1.02.02
DCS-4603_REVA_FIRMWARE_1.02
DCS-4603_REVA_FIRMWARE_v1.02.02
DCS-4603_REVA_FIRMWARE_v1.03.04
DCS-4603_fw_revA1_1-02-02_eu_multi_20171103
DCS-4603_fw_revA1_1-03-04_eu_multi_20190422
DCS-4622_B1_FW_V2.00.04
DCS-4622_REVB_FIRMWARE_v2.00.04
DCS-4622_fw_revB1_2-00-04_eu_multi_20181109
DCS-4701E_B1_FW_V2.00.21_
DCS-4701E_VB1_FIRMWARE_v2.00.21
DCS-4703E_FW_V1.01.00
DCS-4703E_FW_V1.02.03
DCS-4703E_REVA_FIRMWARE_1.01
DCS-4703E_REVA_FIRMWARE_v1.01
DCS-4703E_REVA_FIRMWARE_v1.02.03
DCS-4703E_fw_revA1_1-01_eu_multi_20170929
DCS-4703E_fw_revA1_1-02-03_eu_multi_20190426
DCS-4705E_A1_FW_v1.00.12
DCS-4705E_A1_FW_v1.01.00
DCS-4705E_REVA_FIRMWARE_v1.00.12
DCS-4705E_REVA_FIRMWARE_v1.01.00
DCS-4705E_fw_revA1_1-00-12_eu_multi_20181205
DCS-4705E_fw_revA1_1-01-00_eu_multi_20190905
DCS-4802E_B1_FW_V2.00.09
DCS-4802E_REVB_FIRMWARE_v2.00.09
DCS-4802E_fw_revB1_2-00-09_eu_multi_20190422
DCS-P703_A1_FW_V1.01.00




处置建议


我们建议D-Link摄像头用户及时检查并更新固件系统，同时检查是否存在异常进程和网络连接。

我们建议读者对相关IP和URL进行监控和封锁。



联系我们


感兴趣的读者，可以在 twitter 或者通过邮件netlab[at]360.cn联系我们。



IoC


Scanner IP


106.59.222.2        	China               	ASN4134             	No.31,Jin-rong Street



Downloader IP


103.138.12.202      	China               	ASN134176           	Rainbow network limited



URL


http://103.138.12.202:8099/dlink


{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"*本文作者：[马延龙](https://twitter.com/_O_owl)，[叶根深](https://twitter.com/zom3y3)*\n\n### 背景介绍\n2020年6月12号，@Dogonsecurity在推特上披露了这2个0-day漏洞部分细节[[1\\]](https://twitter.com/Dogonsecurity/status/1271265152118259712) [[2\\]](https://twitter.com/Dogonsecurity/status/1273251236167516161) ，并且互联网上已有这2个0-day漏洞PoC程序[[3\\]](https://pastebin.com/1WTDdKpR)。\n\n2020年7月4号，CNCERT物联网安全研究团队与360网络安全研究院共同分析，监测到有攻击者使用D-Link摄像头2个0-day漏洞，进行网络攻击活动。\n\n2020年8月27号，D-Link针对这2个0-day漏洞事件更新了安全公告[[4\\]](https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10180)，并推出固件升级程序v1.06.01。\n\n目前，我们已经发现D-Link共有9款型号的摄像头存在这2个0-day漏洞, 并向D-Link报告了受影响的范围，另外还报告了固件升级程序v1.06.01存在的漏洞。\n\n### 漏洞分析\n通过360 FirmwareTotal系统分析，D-Link摄像头2个在野0-day漏洞分别是：信息泄漏漏洞和命令注入漏洞，通过组合这2个漏洞，攻击者可以远程控制目标设备，威胁极高。\n\n#### 信息泄露漏洞分析\n漏洞类型：信息泄露\n漏洞原因：`/appro/execs/aHttpMain`程序在处理读取相关配置信息时并不需要登录认证，导致用户名、密码和软件版本等明文信息可被任意访问。\n<a href=\"__GHOST_URL__/content/images/2020/08/dlink_getuser.png\"><img src=\"__GHOST_URL__/content/images/2020/08/dlink_getuser.png\" class=\"kg-image\"/></a>\n\n#### 命令注入漏洞分析\n漏洞类型：命令注入\n漏洞原因：`/appro/execs/aHttpMain`程序在处理用户`/cgi-bin/ddns_enc.cgi`和`/cgi-bin/ddns.cgi`请求时，未对`account`参数进行过滤，即拼接为`ez-ipupdate`或`noip2`程序的参数并执行，造成命令注入漏洞。\n<a href=\"__GHOST_URL__/content/images/2020/08/dlink_noip.png\"><img src=\"__GHOST_URL__/content/images/2020/08/dlink_noip.png\" class=\"kg-image\"/></a>\n\n<a href=\"__GHOST_URL__/content/images/2020/08/dlink_ez_ipupdate.png\"><img src=\"__GHOST_URL__/content/images/2020/08/dlink_ez_ipupdate.png\" class=\"kg-image\"/></a>\n\n### 已知受影响固件列表\n```\nDCS-2530L_A1_FW_V1.03.01\nDCS-2530L_A1_FW_V1.04.01\nDCS-2530L_Ax_FW_V1.04.01\nDCS-2530L_REVA_FIRMWARE_1.03.01\nDCS-2530L_REVA_FIRMWARE_v1.03.01\nDCS-2530L_REVA_FIRMWARE_v1.04.01\nDCS-2530L_REVA_FIRMWARE_v1.05.05\nDCS-2530L_fw_revA1_1-03-01_eu_multi_20171108\nDCS-2530L_fw_revAx_1-04-01_eu_multi_20180601\nDCS-2670L_A1_FW_V2.01.031030103739\nDCS-2670L_FIRMWARE_2.01.10\nDCS-2670L_FW_v1.10.02\nDCS-2670L_fw_revA1_1-10-02_eu_multi_20171108\nDCS-2670L_fw_revA1_2-01-03_eu_multi\nDCS-2670L_fw_revB1_2-01_eu_multi_20190710\nDCS-4603_A1_FW_V1.03.04\nDCS-4603_FW_V1.02.02\nDCS-4603_REVA_FIRMWARE_1.02\nDCS-4603_REVA_FIRMWARE_v1.02.02\nDCS-4603_REVA_FIRMWARE_v1.03.04\nDCS-4603_fw_revA1_1-02-02_eu_multi_20171103\nDCS-4603_fw_revA1_1-03-04_eu_multi_20190422\nDCS-4622_B1_FW_V2.00.04\nDCS-4622_REVB_FIRMWARE_v2.00.04\nDCS-4622_fw_revB1_2-00-04_eu_multi_20181109\nDCS-4701E_B1_FW_V2.00.21_\nDCS-4701E_VB1_FIRMWARE_v2.00.21\nDCS-4703E_FW_V1.01.00\nDCS-4703E_FW_V1.02.03\nDCS-4703E_REVA_FIRMWARE_1.01\nDCS-4703E_REVA_FIRMWARE_v1.01\nDCS-4703E_REVA_FIRMWARE_v1.02.03\nDCS-4703E_fw_revA1_1-01_eu_multi_20170929\nDCS-4703E_fw_revA1_1-02-03_eu_multi_20190426\nDCS-4705E_A1_FW_v1.00.12\nDCS-4705E_A1_FW_v1.01.00\nDCS-4705E_REVA_FIRMWARE_v1.00.12\nDCS-4705E_REVA_FIRMWARE_v1.01.00\nDCS-4705E_fw_revA1_1-00-12_eu_multi_20181205\nDCS-4705E_fw_revA1_1-01-00_eu_multi_20190905\nDCS-4802E_B1_FW_V2.00.09\nDCS-4802E_REVB_FIRMWARE_v2.00.09\nDCS-4802E_fw_revB1_2-00-09_eu_multi_20190422\nDCS-P703_A1_FW_V1.01.00\n```\n\n### 处置建议\n我们建议D-Link摄像头用户及时检查并更新固件系统，同时检查是否存在异常进程和网络连接。\n我们建议读者对相关IP和URL进行监控和封锁。\n\n### 联系我们\n感兴趣的读者，可以在 [**twitter**](https://twitter.com/360Netlab) 或者通过邮件**netlab[at]360.cn**联系我们。\n\n\n### IoC\nScanner IP\n```\n106.59.222.2        \tChina               \tASN4134             \tNo.31,Jin-rong Street\n```\nDownloader IP\n```\n103.138.12.202      \tChina               \tASN134176           \tRainbow network limited\n```\n\nURL\n```\nhttp://103.138.12.202:8099/dlink\n```\n"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}