【漏洞复现】Hikvision摄像头产品代码执行漏洞(CVE-2021-36260)

晚风不及你ღ

已于 2024-01-20 09:43:58 修改

阅读量6.1k

点赞数 11

文章标签： web安全

于 2024-01-20 09:42:25 首次发布

本文链接：https://blog.csdn.net/qq_37113223/article/details/135711258

版权

150 篇文章

已下架不支持订阅

本文介绍了海康威视（Hikvision）摄像头存在的越权漏洞（CVE-2017-7921），详细阐述了漏洞描述、复现过程以及修复建议。通过特定路径，攻击者可以访问系统并执行命令。修复此问题的最佳方式是联系厂商进行处理。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Hikvision（海康威视）是一家在中国颇具影响力的安防公司，其网络摄像头产品在市场上占据了相当大的份额。Hikvision的网络摄像头产品线非常丰富，涵盖了各种型号和功能，以满足不同用户的需求。

Hikvision摄像头产品的越权漏洞（CVE-2017-7921）是一种严重的安全问题，该漏洞允许未经授权的用户访问和控制系统。通过特定的路径访问Hikvision摄像头的某些功能，包括检索所有用户及其角色的列表、获取相机快照以及下载摄像头配置账号密码文件等。

fofa-query: app="HIKVISION-视频监控"

漏洞点位于/SDK/webLanguage 利用PUT方法上传xml数据：

PUT /SDK/webLanguage HTTP/1.1
Host: {
  {Hostname}}
User-Agent: Mozilla/5.0 (Windows NT 10.0; rv:78.0) Gecko/20100101

了解本专栏