漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-098987
漏洞标题：安尼监控系统安全隐患可导致大量设备权限泄露（全国各地随便看）
相关厂商：cncert国家互联网应急中心
漏洞作者： 蜉蝣
提交时间：2015-03-03 10:55
修复时间：2015-04-17 10:56
公开时间：2015-04-17 10:56
漏洞类型：服务弱口令
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-03-03： 细节已通知厂商并且等待厂商处理中
2015-03-06： 厂商已经确认，细节仅向厂商公开
2015-03-16： 细节向核心白帽子及相关领域专家公开
2015-03-26： 细节向普通白帽子公开
2015-04-05： 细节向实习白帽子公开
2015-04-17： 细节向公众公开
简要描述：
测试了下1300台监控，200台在线。初始密码不可怕，可怕的是初始密码是摆设。深圳市安尼数字技术有限公司成立于2007年，2010年，OTCBB上市公司美国安维集团（“安维集团”），透过其子公司美国安维安防集团（亚洲）有限公司（“安维亚洲”）100%收购安格视，安格视更名为安维安防技术（中国）有限公司（“安维中国”），由李廷义先生负责经营；2012年4月，李廷义先生全资购回安维中国，安维中国由外商独资转为纯中资企业，并更名为安尼数字。 测试了下1300台监控，200台在线
详细说明：
安尼监控系统后台
http://www.dvripc.cn/ ，
选择用户登录，随便注册个账号 手工添加设备
用户名，密码是摆设随便填。域名输入任意字母或数字，爆出来如图
批量爆出设备ID，然后添加了就可以实施监控
漏洞证明：
监控视频就不一一截图了，就发些在线的设备图把 好几百个 算不算通用？有没有奖金
修复方案：
限制
版权声明：转载请注明来源 蜉蝣@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2015-03-06 21:30
厂商回复：
CNVD确认所述情况，由CNVD通过网站公开联系方式向厂商通报。
最新状态：
暂无