企业官网建设流程全解析

• 网络安全
• 渗透测试
• 文档

导读

本文针对零视科技 H5S 视频平台（H5S CONSOLE）中编号为 CNVD-2020-67113 的未授权访问漏洞展开分析，核心成因在于/api/v1/GetUserInfo等 API 接口缺失鉴权校验，攻击者无需任何凭证即可读取平台用户账号与密码（密文），并进一步调用登录接口获取合法会话 Cookie 进入后台。读完本文，你将掌握该漏洞的触发原理、网络空间测绘方法、完整的未授权利用链路（API 文档访问 → 用户信息泄漏 → 密文登录 → 后台接管）以及对应的修复与加固方案。

一、漏洞概述

零视技术（上海）有限公司是一家以视频技术为核心的物联网视频服务厂商，致力于让物联网视频开发简单化，并依托 HTML5、WebRTC 等新技术实现全平台视频播放的简单化。其旗下的 H5S CONSOLE 是 H5S 视频平台的管理控制台，用于设备接入、视频流管理与平台配置。

该控制台存在未授权访问漏洞（CNVD-2020-67113）：攻击者可绕过身份认证，直接访问后台暴露的 API 接口，执行未授权操作，其中最直接的影响是用户账号与密码信息被泄漏，并可通过泄漏的凭据完成登录，最终接管平台管理后台。

影响范围

零视科技 H5S视频平台

即所有部署了存在缺陷版本 H5S CONSOLE 的 H5S 视频平台均可能受影响，具体以厂商发布的安全通告与修复版本为准。

二、漏洞原理分析

从复现过程中暴露的接口形态可以推断漏洞的成因链条：

1. API 接口缺乏鉴权校验：/api/v1/GetUserInfo接口在session=参数为空的情况下仍能正常返回用户数据，说明该接口未对调用方会话有效性做强制校验，属于典型的"接口层未授权访问"缺陷——鉴权逻辑要么完全缺失，要么被错误配置为可绕过。
2. 接口文档未授权公开：/doc/api.html可被任何人直接访问，相当于向攻击者免费提供了整套 API 的调用手册，大幅降低了漏洞利用门槛，使攻击者能够快速定位GetUserInfo、Login等高价值接口。
3. 凭据可直接复用：GetUserInfo返回的Password字段为密文（MD5），该密文可直接作为Login接口的password参数值提交，接口侧未进行二次混淆或加盐校验，导致"密码密文即密码"。
4. 会话 Cookie 落地：登录接口成功后返回会话 Cookie，攻击者携带该 Cookie 即可访问主页面，实现对后台的完全接管。

从接口路径（/api/v1/...）与返回格式可以推断，H5S CONSOLE 采用 RESTful 风格的 API 设计，前后端通过 JSON 交互；这类架构下若统一鉴权中间件配置不当（如忽略 GET 请求、白名单遗漏、未校验空 session），就会出现与本文类似的未授权接口。

三、网络空间测绘

在实际资产排查与渗透测试授权范围内，可使用以下测绘语法定位互联网上的 H5S 视频平台：

title="H5S视频平台|WEB"

该语法在 FOFA、Quake、Hunter 等网络空间测绘引擎中均可用，命中结果即为 H5S 视频平台的 WEB 登录页面。定位到目标后即可进入下一步复现流程。

四、漏洞复现

以下复现步骤基于授权测试环境，仅用于技术研究与防御验证。

第一步：访问登录页面

正常访问平台地址，首先看到的是 H5S 视频平台的 WEB 登录页面，页面形态如下：

第二步：未授权访问 API 文档

直接访问 API 文档地址：

/doc/api.html

该页面未做任何访问控制，可以完整查看平台暴露的全部 API 接口、请求参数与调用方式，其中就包含用于查询用户信息的GetUserInfo接口：

第三步：调用 GetUserInfo 泄漏账号密码

向用户信息查询接口发起请求，user参数指定目标账号（此处以admin为例），session参数置空：

/api/v1/GetUserInfo?user=admin&session=

接口未校验 session 有效性，直接返回该用户的账号信息，其中Password字段为密码密文：

第四步：使用泄漏密文调用登录接口获取 Cookie

观察返回数据可知，Password即为登录接口所需的密码参数。将密文原样填入登录接口即可发起登录请求：

/api/v1/Login?user=admin&password=827ccb0eea8a706c4c34a16891f84e7b

请求成功后接口返回会话 Cookie 等凭证信息，标识登录态建立：

技术补充：返回值中的827ccb0eea8a706c4c34a16891f84e7b是明文口令12345的 MD5 哈希值（可通过常见的 MD5 彩虹表或在线哈希库还原验证）。这也从侧面说明，该平台不仅接口存在未授权访问，其口令存储强度也偏弱——既未加盐，且示例账户使用了极易被还原的弱口令。

第五步：携带 Cookie 访问主页面

使用上一步获取的 Cookie 携带在请求中访问主页面，可正常进入平台管理后台：

至此，攻击者在未提供任何有效凭证的情况下，通过"未授权 API 文档 → GetUserInfo 用户信息泄漏 → 密文直接登录 → 获取 Cookie 接管后台"的完整链路，实现了对 H5S 视频平台控制台的后台接管。

五、漏洞危害评估

• 敏感信息泄漏：平台所有用户的账号、密码密文可被批量枚举获取（user参数可遍历），若存在弱口令可直接还原明文；
• 后台完全接管：泄漏密文可直接用于登录，攻击者获得与管理员等同的后台操作权限，可进一步下发配置、读取视频流相关数据甚至植入恶意操作；
• 横向风险：视频平台通常位于内网且承担流媒体服务，后台沦陷后可能成为进一步内网渗透的跳板。

六、修复与加固建议

1. 补齐接口鉴权：对/api/v1/*全部接口统一接入会话校验中间件，session参数为空、过期或非法时一律拒绝服务，严禁在鉴权前返回用户敏感字段；
2. 收敛接口文档：/doc/api.html等 API 文档应对公网关闭，或置于强鉴权之后，避免向未授权用户暴露接口结构；
3. 升级密码存储方案：禁止以明文 MD5 直接存储口令，改用加盐哈希（如 bcrypt、scrypt、argon2），同时强制用户使用强口令并定期改密；
4. 加固登录与会话管理：登录接口增加验证码、失败锁定与频率限制；Cookie 设置HttpOnly、Secure属性，会话超时自动失效；
5. 网络层收敛暴露面：控制台管理端口仅对可信管理网段开放，避免直接暴露公网；可结合上文测绘语法定期自查互联网资产；
6. 审计与监控：对GetUserInfo、Login等敏感接口的异常调用（如高频、空 session）进行日志记录与告警。

七、小结

CNVD-2020-67113 是物联网视频平台类系统"接口层未授权访问"的典型案例：未鉴权的 API 文档 + 未鉴权的用户信息接口 + 可直连的密文登录接口，三者叠加将"信息泄漏"放大为"后台接管"。对于开发者而言，本文的启示在于：接口设计必须默认安全（Deny by Default），所有非公开接口都应经过统一鉴权层，敏感字段在任何情况下都不得在鉴权前返回。

本漏洞文档收录于本仓库 Web应用漏洞 目录下，完整原始记录参见 零视科技 H5S视频平台 GetUserInfo 信息泄漏漏洞 CNVD-2020-67113.md，其中包含的复现截图均存放于 Web应用漏洞/images 目录，供读者对照验证。

• 网络安全
• 渗透测试
• 文档