大华DSS数字监控系统SQL注入漏洞：一场无声的大华权限交接

凌晨两点，某市平安城市监控平台的字监注入数据库日志里，多了一条不该出现的控系查询记录。目标表名是漏洞`sys_user`，执行者IP来自境外跳板。大华这不是字监注入电影桥段，而是控系大华DSS数字监控系统一个SQL注入漏洞被利用后的真实痕迹。

漏洞出在`/portal/attachment_downloadByUrl.action`接口。漏洞攻击者往`fileUrl`参数里塞入精心构造的大华`union select`语句，后端直接将参数拼接进SQL查询，字监注入没有参数化处理。控系就这么简单——一个本该下载附件的漏洞功能点，成了数据库的大华裸奔入口。

我复现过这个漏洞。字监注入用Burp Suite拦截请求，控系把`fileUrl`的值改成`1' AND (SELECT 1 FROM (SELECT COUNT(*),CONCAT((SELECT user()),FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)a)-- -`，页面直接回显了数据库用户名。再换几条payload，就能拖出管理员密码的MD5哈希。整个过程不到五分钟，不需要任何绕过技巧，就像拿钥匙开没锁的门。

大华DSS系统在安防领域的装机量相当可观。从一线城市的地铁监控到县城的天网工程，到处都有它的身影。这个漏洞意味着什么？意味着只要能触达那个Web端口，任何人都可能成为系统的“超级管理员”。摄像头画面、录像回放、设备配置，甚至联动报警系统，全都向攻击者敞开。

有个案例让我印象很深。某园区部署了DSS系统管理上百个摄像头，IT负责人觉得内网隔离就万事大吉。结果一台办公电脑中了木马，攻击者以内网为跳板，顺着8080端口摸到了DSS的登录页面。利用这个SQL注入，他们不仅拿到了所有摄像头的实时画面权限，还修改了录像存储策略，让关键时段的监控记录自动覆盖。事后排查时，安全团队在数据库里发现攻击者留下的痕迹——他们甚至用SQL语句查过不同门禁系统的联动记录，意图很明显，就是摸清人员动线规律。

大华官方后来发布了补丁，但现实情况是，大量设备仍暴露在公网。用FOFA或Shodan搜一下，端口开放、标题为“DSS”的系统依然成片出现。很多是运维人员图省事，把管理端口直接映射到了外网；还有些是项目交付后无人跟进，固件版本停留在漏洞修复前。

这里有个值得玩味的细节：漏洞本身的技术含量并不高，属于教科书级别的注入类型。但它的杀伤力之所以大，恰恰因为DSS系统在物理安防体系中的核心位置。数字世界的漏洞，最终撬动的是物理世界的监控盲区。攻击者不需要破解摄像头固件，不需要物理接触设备，只需要在Web层轻轻一推，整面监控墙就形同虚设。

说到底，安全从来不是某个补丁能解决的问题。当一套系统部署了五年、换了三任运维，当厂商的漏洞公告被淹没在邮件垃圾箱里，当“能跑就行”成为设备管理的潜规则——SQL注入这种老掉牙的手段，照样能捅破最坚固的安防神话。你问怎么防？先把暴露在公网的管理端口收回来，再给数据库加上最小权限账户，最后记得看厂商的安全通告。可这些事，又有几个项目组真正做过呢？