海康威视综合安防管理平台Fastjson远程命令执行漏洞

原创已于 2023-07-25 15:04:35 修改 · 2.6k 阅读 GEO检测

安全攻防赵小龙

关注

标签

#网络安全 #java #python

分类信息安全与密码学

收录于

于 2023-07-24 15:47:20 首次发布

网络安全漏洞复现同时被 2 个专栏收录

66 篇文章 ¥9.90 ¥99.00

订阅专栏

超级会员免费看

2023年HW专题

24 篇文章

订阅专栏

海康威视综合安防管理平台Fastjson远程命令执行漏洞

一、海康威视综合安防管理平台简介
二、漏洞描述
三、影响版本
四、漏洞复现
- 小龙POC一键哈拉少
五、修复方案

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

一、海康威视综合安防管理平台简介

综合安防管理平台基于 " 统一软件技术架构" 理念设计，采用业务组件化技术，满足平台在业务上的弹性扩展。该平台适用于全行业通用综合安防业务，对各系统资源进行了整合和集中管理，实现统一部署、配置、管理和调度。

二、漏洞描述

海康威视综合安防管理平台存在Fastjson远程命令执行漏洞，该漏洞可执行系统命令，可获取到目标服务器系统权限以及敏感数据信息。

三、影响版本

V2.0.0 <= iVMS-8700 <= V2.9.2

V1.0.0 <= iSecure Center <= V1.7.0

四、漏洞复现

FOFA: app=“HIKVISION-综合安防管理平台”

在这里插入图片描述
漏洞数据包如下：

阅读完本文您可以尝试下面操作：

了解本专栏

订阅专栏解锁全文

超级会员免费看

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

展开全部

收起

复制链接

分享到 QQ

分享到新浪微博

扫一扫

打赏

【漏洞复现】海康威视综合安防管理平台Fastjson远程命令执行漏洞复现

李同學AI安全

04-28

9469

综合安防管理平台基于统一软件技术架构理念设计，采用业务组件化技术，满足平台在业务上的弹性扩展。该平台适用于全行业通用综合安防业务，对各系统资源进行了整合和集中管理，实现统一部署、配置、管理和调度。海康威视综合安防管理平台存在Fastjson远程命令执行漏洞，该漏洞可执行系统命令，可获取到目标服务器系统权限以及敏感数据信息。

参与评论您还未登录，请先登录后发表或查看评论

海康威视综合安防管理平台 orgManage/v1/orgs/download 任意文件读取漏洞复现

0xSec

05-31

2138

海康威视综合安防管理平台 orgManage/v1/orgs/download 接口处存在任意文件读取漏洞，未经身份验证的远程攻击者可利用目录遍历的方式绕过权限认证直接读取后台服务器配置文件等敏感文件，造成信息泄露，使系统处于极不安全的状态。

海康威视iVMS综合安防系统任意文件上传漏洞复现（0day）

热门推荐

0xSec

05-22

1万+

海康威视iVMS系统存在在野 0day 漏洞，攻击者通过获取密钥任意构造token，请求/resourceOperations/upload接口任意上传文件，导致获取服务器webshell权限，同时可远程进行恶意代码执行。

漏洞复现-海康威视综合安防管理平台信息泄露【附Poc】

zkaqlaoniao的博客

10-25

5595

海康威视（Hikvision）是一家总部位于中国杭州的公司，是全球最大的视频监控产品供应商。除了传统的CCTV摄像机和网络摄像机，海康威视还提供各种相关的安防产品和解决方案。他们的综合安防管理平台为用户提供了一站式的解决方案，包括视频监控、入侵检测、访客管理、停车场管理等。

海康威视iSecure Center 综合安防管理平台detection接口存在远程命令执行漏洞

xiaokp7的博客

07-24

1887

HIKVISION iSecure Center综合安防管理平台是一套“集成化”、“智能化”的平台，通过接入视频监控、一卡通、停车场、报警检测等系统的设备，获取边缘节点数据，实现安防信息化集成与联动，以电子地图为载体，融合各系统能力实现丰富的智能应用。HIKVISION iSecure Center平台基于“统一软件技术架构”先进理念设计，采用业务组件化技术，满足平台在业务上的弹性扩展。该平台适用于全行业通用综合安防业务，对各系统资源进行了整合和集中管理，实现统一部署、统一配置、统一管理和统一调度。

海康威视综合安防管理平台存在Fastjson远程命令执行漏洞

nnn2188185的博客

04-26

1228

海康威视综合安防管理平台存在Fastjson远程命令执行漏洞，该漏洞可执行系统命令，直接获取服务器权限。

【漏洞复现】Hikvision综合安防管理平台Fastjson命令执行漏洞

晚风不及你

01-23

1667

Hikvision（海康威视）是一家在中国颇具影响力的安防公司，其网络摄像头产品在市场上占据了相当大的份额。综合安防管理平台基于“统一软件技术架构”理念设计，采用业务组件化技术，满足平台在业务上的弹性扩展。

海康威视ivms8700安全审计实战：从架构解析到漏洞挖掘

最新发布

oauth7security的博客

03-10

702

本文深入解析了海康威视iVMS-8700综合安防管理平台的Spring MVC架构与安全机制，并提供了从架构分析到漏洞挖掘的实战指南。文章重点探讨了如何通过代码审计发现并利用认证绕过、文件上传、命令执行等常见漏洞，结合具体模块（如EPS、Center）的过滤器和拦截器逻辑，揭示了安全风险点，旨在帮助安全研究人员和运维人员提升对复杂安防系统的安全评估能力。

【漏洞复现】海康威视安防管理平台/v1/keepAlive 接口处存在远程命令执行漏洞

m0_46381222的博客

10-23

1473

【漏洞复现】海康威视安防管理平台/v1/keepAlive 接口处存在远程命令执行漏洞

【漏洞复现】Hikvision综合安防管理平台config信息泄露漏洞

晚风不及你

01-21

4347

海康威视iSecure Center综合安防管理平台center任意文件上传漏洞

bmaoHk的博客

10-03

1393

【漏洞复现】海康威视iVMS综合安防系统任意文件上传漏洞复现 (在野0day)

李同學AI安全

06-02

1万+

海康威视 iVMS 集中监控应用管理平台，是以安全防范业务应用为导向，以视频图像应用为基础手段，综合视频监控、连网报警、智能分析、运维管理等多种安全防范应用系统，构建的多业务应用综合管理平台。海康威视 iVMS系统存在在野利用 0day漏洞，攻击者可通过获取密钥任意构造token，请求/resourceOperations/upload 接口任意上传文件，导致获取服务器WebShell权限，同时可远程进行恶意代码执行。

海康威视部分综合安防管理平台产品存在任意文件上传漏洞

Al345__的博客

11-19

2619

海康威视部分综合安防管理平台历史版本由于对上传文件接口校验不足，攻击者可以将恶意文件上传到平台，导致获取服务权限或服务异常。攻击者利用该漏洞上传Webshell，并随后执行任意命令，对主机上相关文件进行加密，加密后缀为locked1。海康威视iVMS集中监控应用管理平台，是以安全防范业务应用为导向，以视频图像应用为基础手段，综合视频监控、联网报警、智能分析、运维管理等多种安全防范应用系统，构建的多业务应用综合管理平台。（2）建立重要业务数据的定期备份机制，并做好权限隔离，防止勒索软件对备份数据进行加密；

海康综合安防管理平台远程命令执行漏洞（CNVD-2024-18673）复现

fly夏天的博客

06-19

7564

海康综合安防管理平台远程命令执行漏洞（CNVD-2024-18673）复现

海康威视iSecure Center综合安防管理平台信息泄漏漏洞

bmaoHk的博客

10-02

2266

综合安防管理平台(HIKVISION iSecure Center)是一套“集成化”、“智能化”的平台，通过接入视频监控、一卡通、停车场、报警检测等系统的设备，获取边缘节点数据，实现安防信息化集成与联动，以电子地图为载体，融合各系统能力实现丰富的智能应用。HIKVISION iSecure Center平台基于“统一软件技术架构”先进理念设计，采用业务组件化技术，满足平台在业务上的弹性扩展。该平台适用于全行业通用综合安防业务，对各系统资源进行了整合和集中管理，实现统一部署、统一配置、统一管理和统一调度。

海康威视iVMS综合安防系统任意文件上传漏洞复现 (0day)

05-31

4547

此文章仅用于技术交流，严禁用于对外发起恶意攻击！！！

海康威视iSecure Center综合安防管理平台 config.properties信息泄漏漏洞

菜鸟学渗透

08-21

2318

海康威视iSecure Center综合安防管理平台 config.properties信息泄漏漏洞

海康威视（iVMS）综合安防系统任意文件上传漏洞复现 [附POC]

薛定谔嘚喵博客

11-13

1914

海康威视iVMS系统存在任意文件上传漏洞，攻击者通过获取密钥任意构造token，请求/resourceOperations/upload接口任意上传文件，导致获取服务器webshell权限，同时可远程进行恶意代码执行。

海康威视 isecure center 综合安防管理平台任意文件上传漏洞

李同學AI安全

06-19

2380

海康威视部分综合安防管理平台管理平台基于统一软件技术架构理念设计，采用业务组件化技术，满足平台在业务上的弹性扩展。该平台适用于全行业通用综合安防业务，对各系统资源进行了整合和集中管理，实现统一部署、配置、管理和调度。海康威视综合安防管理平台keepAlive接口存在Fastjson远程命令执行漏洞，攻击者可通过构造恶意Payload执行并获取服务器系统权限以及敏感数据信息。