2019年秋天，黑客我帮朋友检查他出租屋里的入侵网络，发现路由器后台挂着一台陌生设备，摄像型号显示为“IPC-360”。头教他愣了半天，黑客说那是入侵房东装的摄像头。更离谱的摄像是，这台摄像头用的头教是出厂默认密码admin/admin，固件版本还是黑客2016年的。任何人扫到这个IP，入侵用浏览器打开就能直接看画面。摄像这不是头教段子，是黑客每天都在发生的事。

很多人以为入侵摄像头需要写代码、入侵懂漏洞利用，摄像其实大部分时候连暴力破解都用不上。厂商留的后门、用户懒得改的默认口令、UPnP自动映射到公网，这三样凑在一起，等于把门钥匙插在锁上还贴了张纸条写着“欢迎光临”。

先搞清楚你要面对的是什么

市面上的IP摄像头大致分两类：一类是海康、大华这种正经安防品牌，另一类是几十块到一百多块的杂牌玩具。后者的安全性基本为零。我拆过一台售价79元的某品牌摄像头，telnet端口默认开着，root密码是“xc3511”，这串字符在固件里明文躺着。厂商根本没打算让你改，因为改了他们远程升级就麻烦。

正经品牌会好一些，但也好不到哪去。海康威视在2015年爆出过CVE-2014-4014，攻击者可以通过伪造Cookie绕过登录。大华在2017年被曝出多个型号存在缓冲区溢出。这些漏洞的利用工具在GitHub上随便搜，脚本小子拿现成的就能用。

扫描：找到那些“裸奔”的摄像头

最省事的办法是用Shodan或ZoomEye这类搜索引擎。搜“Server: Boa/0.94.14rc21”能列出大量使用同一款嵌入式Web服务器的摄像头，再配合“/view.shtml”这类路径特征，基本就能锁定目标。我试过一次，搜出来的结果里，大概三成能直接打开实时画面。

如果你想在局域网里找，用nmap扫一下80、554、8000、8080这几个端口。554是RTSP协议，很多摄像头用它推流，认证做得稀烂。命令很简单：

nmap -p 80,554,8000,8080 192.168.1.0/24

扫到开放端口后，用ONVIF Device Manager这类工具探测设备信息，很多摄像头会直接返回型号和固件版本，方便你去找对应的漏洞。

默认口令：最古老的入口

我整理过一份常见摄像头默认密码清单，前五名是：admin/admin、admin/12345、root/root、admin/(空)、admin/password。某次我在一个咖啡厅的WiFi下扫内网，发现三台摄像头，两台用admin/admin就进去了，第三台是admin/123456。整个过程不到十分钟。

有人会说，现在很多摄像头强制首次登录改密码了。对，但只限于新固件。大量老设备还在跑2018年之前的系统，厂商早就不维护了。你买二手摄像头、租房子自带摄像头、公司淘汰的监控设备，大概率都是这种状态。

进去了能做什么

登录之后，你能看到实时画面、回放录像、控制云台转动，有些还能改存储路径把录像传到你的FTP服务器。更狠的是，部分摄像头支持命令注入，你可以直接拿shell，把它变成内网跳板。我见过一个案例，攻击者通过摄像头入侵了某公司的内网，因为摄像头和办公网络在同一个VLAN里，没有任何隔离。

但说实话，大部分被入侵的摄像头没什么好看的。对着走廊、对着停车场、对着空荡荡的客厅。真正有价值的目标——比如对着收银台、对着保险柜、对着卧室的——早就被人扫过无数遍了。你进去的时候，可能已经有七八个陌生IP挂在上面。

怎么防

第一，别买杂牌。第二，买回来第一件事是改密码，用12位以上混合字符。第三，关掉UPnP，别让摄像头自己映射到公网。第四，如果必须远程看，用VPN回内网，别直接暴露端口。第五，定期检查路由器后台的设备列表，看到不认识的IP就踢掉。

最后说一句：入侵别人的摄像头是违法的。我写这些是因为我干过安全审计，知道漏洞在哪。你拿这些知识去偷窥别人，迟早进去。摄像头不会说话，但日志会。