世邦通信 SPON IP网络对讲广播系统后门账户

产品介绍

世邦通信SPON IP网络对讲广播系统采用领先的IPAudio™技术,将音频信号以数据包形式在局域网和广域网上进行传送,是一套纯数字传输系统。

漏洞描述

spon IP网络对讲广播系统login.php代码中存在固定的账户密码判断登录后台，攻击者可通过固定账户密码直接登录后台。

资产测绘

icon_hash=“-1830859634”

漏洞复现

代码中可以看到，可以看到有固定写死的账户密码(脑子抽了一下。。)

可以通过该固定的账户密码，直接登录后台。

修复建议

1.删除该判断代码，直接使用数据库进行存在账户密码。
2.升级至最新安全版本。