网传海思后门实为雄迈产品漏洞

近日有国外研究员发布文章[1]称在基于海思半导体（HiSilicon）的DVR、NVR和网络摄像头（IP camera）设备中发现0day漏洞，并公布了相应的poc[2]。然而实际上，作者的该项研究的成果并不适用于海思半导体原生产品及相关系统，该项研究的对象实际上是杭州雄迈信息技术有限公司的相关产品，该公司在产品中使用了写入自己开发的程序的海思半导体SoC芯片。在文章的最后作者也进行了更新，承认通过与其他研究员交流后，发现文中阐述的问题并非来自海思半导体的芯片，实际上是由于杭州雄迈信息技术有限公司的软件引起。因此海思半导体自身产品中不存在[1]中相关安全问题。

文章中首先回顾了基于海思半导体相关设备在2013[3]年和2017[4]年时爆出的硬编码root账号密码问题。同时对2017年的新版固件的问题进行了相关引述[5][6]，而这两篇文章所涉及的基于海思半导体的相关设备均出自杭州雄迈信息技术有限公司。

2017年3月国内某博客上分享了开启雄迈摄像头telnet 的方法[4]。通过抓包与端口扫描确定了通信端口为9530，老版本固件中该端口为9527，监听端口的程序为dvrHelper。dvrHelper作为符号链接指向dvrbox。作者通过获取dvrbox字符串信息发现参数telnetctrl，对其全局搜索后发现仅在armbenv 中调用，而armbenv 可能为读写uboot配置的工具。最后通过尝试命令 armbenv -s telnetctrl 1 成功开启telnet。文末作者还给出了账号密码的获取方法。

同年7月，国外某博客上分享了通过默认口令使用telnet远程登陆的方法[5]。虽然作者未在文章中提及产品的具体品牌，但从该产品开放的9530端口以及作者尝试的默认口令: xmhdipc ，可以推断出该产品品牌为雄迈。

文中披露漏洞如下：

存在漏洞的设备中运行的系统为包含busybox的linux系统，一个主要的视频应用Sofia以及一组辅助程序。包含漏洞的设备固件会运行 macGuarder或dvrHelper进程对9530端口进行监听。激活后门的过程如下：

1、 客户端建立与目标设备的9530端口的tcp连接，并发送字符串“OpemTelnet：OpenOnce”，并在其前方添加代表字符串长度的字节。2、 服务器发送字符串“RandNum:XXXXXXXX”其中“XXXXXXXX”表示8个数字的随机十进制整数。3、 客户端使用预先分配的密钥作为加密密钥，对收到的随机数进行加密，并在前面添加“randNum:”发送给服务端，同样消息前需要以字节形式添加总的消息长度。4、 服务器从文件/mnt/custom/TelnetOEMPasswd中读取同样的预分配密钥，如果文件缺失则使用默认的2wj9fsa2。5、 服务器对随机数进行加密，并与从客户端收到的结果进行对比，并发送“verify:OK”或“verify:ERROR”。

6、 客户端加密字符串“Telnet:OpenOnce”，同样前面添加总长度字节以及“CMD:”字符串到服务器。

该安全问题影响比较广泛，涉及了雄迈信息技术有限公司的几乎全部联网产品，如果无法进行设备更换，建议阻断对于相关设备23，9527和9530端口的tcp连接。

针对上述问题，海思半导体有限公司也在其官网上进行了澄清[7]。上述安全问题不是由于海思半导体的芯片产品或SDK引入的，并且通过示例解释了发生问题的部分应当归属于设备厂商。海思强调其所提供的SDK中包含了用于开发和调试的一些服务，其中包括telnet，同时出于二次开发的安全考虑，也在为设备厂商提供的软件包中包含了删除telnet在内的有风险的服务的方法。最后还强调华为和海思在全球提供的任何设备中都不会安放后门程序。

参考链接：

[1].https://habr.com/en/post/486856/

[2].https://github.com/Snawoot/hisilicon-dvr-telnet

[3].https://habr.com/ru/post/173501/

[4].https://github.com/tothi/pwn-hisilicon-dvr

[5].https://www.cnblogs.com/mmseh/p/6537924.html

[6].https://habr.com/ru/post/332526/

[7].http://www.hisilicon.com/en/Media-Center/News/SecurityNotice

关于天机实验室

天机实验室专注于漏洞挖掘与利用技术研究。

研究方向主要包括漏洞挖掘技术研究、漏洞分析技术研究、漏洞利用技术研究、安全防御机制及对抗技术研究等。研究目标涵盖主流操作系统、流行的应用系统及软件、重要的基础组件库以及新兴的技术方向。

内容编辑：天机实验室   责任编辑：肖晴

往期回顾

本公众号原创文章仅代表作者观点，不代表绿盟科技立场。所有原创内容版权均属绿盟科技研究通讯。未经授权，严禁任何媒体以及微信公众号复制、转载、摘编或以其他方式使用，转载须注明来自绿盟科技研究通讯并附上本文链接。

关于我们

绿盟科技研究通讯由绿盟科技创新中心负责运营，绿盟科技创新中心是绿盟科技的前沿技术研究部门。包括云安全实验室、安全大数据分析实验室和物联网安全实验室。团队成员由来自清华、北大、哈工大、中科院、北邮等多所重点院校的博士和硕士组成。

绿盟科技创新中心作为“中关村科技园区海淀园博士后工作站分站”的重要培养单位之一，与清华大学进行博士后联合培养，科研成果已涵盖各类国家课题项目、国家专利、国家标准、高水平学术论文、出版专业书籍等。

我们持续探索信息安全领域的前沿学术方向，从实践出发，结合公司资源和先进技术，实现概念级的原型系统，进而交付产品线孵化产品并创造巨大的经济价值。

长按上方二维码，即可关注我们