钟馗是钟馗之眼抓鬼的，可现实里，入侵摄像头里的摄像“鬼”比地府的还多。我见过一个案例，钟馗之眼某酒店走廊的入侵监控被人远程打开，画面里客人推着行李箱走过，摄像浑然不知自己正被当成直播素材。钟馗之眼入侵者用的入侵不是什么国家机密级武器，就是摄像网上花几十块钱买的漏洞扫描工具，配上几行公开的钟馗之眼默认密码列表。

这些摄像头有个通病——厂商为了省事，入侵出厂设置全用admin/123456。摄像用户懒得改，钟馗之眼或者压根不知道能改。入侵于是摄像钟馗的剑就成了自动脚本，凌晨三点扫一遍全网IP段，碰运气撞开那些没上锁的门。我认识一个搞安全测试的朋友，他给我演示过整个过程：打开一个叫Shodan的搜索引擎，输入“webcam 7”，几秒钟蹦出上千条结果，全是暴露在公网上的摄像头实时画面。有对着停车场的，有对着收银台的，最离谱的一个对着婴儿床。

别以为只有小厂设备才中招。某知名品牌的路由器，去年被爆出后门账号，固件里硬编码了一个隐藏管理员权限。这事曝光后，厂商发了补丁，可全球还有几十万台设备没更新——它们就像敞着大门的房子，谁路过都能进去转一圈。更恶心的是，有些黑客入侵后不干别的，专门把摄像头角度调到对准卧室，然后挂到暗网上卖“独家视角”，月费折合人民币一百多块。

你可能会说，我又没装摄像头，怕什么。错了。现在智能电视带摄像头，扫地机器人带摄像头，连门口那个可视门铃都是联网的。我同事家的猫，有天晚上自己踩开摄像头APP，把画面传到了云端，他半夜刷手机差点吓出心脏病。这还算好的，有个案例是黑客通过智能门铃的漏洞，反向控制了整个家庭网关，然后用网关当跳板，把屋里所有智能设备都变成了监听器。

钟馗要抓的鬼，其实就藏在两个地方：一是设备默认口令，二是固件更新机制。前者是懒，后者是贪——厂商为了省维护成本，恨不得你永远不升级，这样他们就能持续卖云存储服务。有些安全研究员提交漏洞报告，厂商回邮件说“已知问题，下次固件更新修复”，结果这个“下次”拖了两年。

我自己的做法很土：把所有摄像头都接到一个单独的VLAN里，禁止它们访问外网，只在局域网内通过NAS存储录像。要远程看？用VPN拨回家里。麻烦是麻烦点，但至少钟馗的剑砍过来时，我家的门是锁着的。至于那些懒得改密码的人，我只能说——你家的摄像头，可能正替别人赚钱呢。