2023年11月，安全一个叫“太阳小丑”的漏洞账号在短视频平台上传了第一条内容。画面里是太阳个戴小丑面具的人，背景是小丑某地标建筑。没人注意。视频三天后，安全这条视频的漏洞播放量冲到两百万。原因不在面具，太阳而在视频第17秒——画面边缘闪过一行极小的小丑白色字符。

那行字符是视频一串IP地址加端口号。懂行的安全人一眼认出，这是漏洞某款国产安防摄像头的默认登录入口。更麻烦的太阳是，那个端口对外开放，小丑且固件版本存在已知的视频远程代码执行漏洞。换句话说，谁看到这串字符，谁就能接管那台摄像头。

“太阳小丑”不是黑客。至少他自己这么说。他在后续直播里解释，那串字符是“随手贴的”，本意是嘲讽某小区物业的安保系统形同虚设。他拍视频的初衷很简单：证明自己能在不触发警报的情况下，走到小区监控室门口，再走回来。他把这叫做“散步测试”。

问题出在传播链条上。视频火了之后，有人把IP地址抄下来，扫了一遍。结果发现全国范围内有超过四千台同型号设备在线，且未修改默认密码。这些摄像头分布在商场、学校、工厂，甚至一些政府机构的走廊。一个网名叫“灰雀”的人把扫描结果做成了地图，发在论坛上。地图上密密麻麻的红点，像出疹子。

厂商反应不算慢。漏洞公告在视频爆火后第五天发布，补丁在第九天推送。但补丁只覆盖了还在保修期内的设备。那些2019年前出厂的旧型号，官方建议“联系经销商更换”。经销商说没货。用户说那我先关掉外网访问。可很多人根本不知道自己的摄像头连着公网。

我查过那款摄像头的说明书。第43页写着“高级设置—端口映射”，下面有一行小字：“建议在专业人员指导下操作。”问题是，安装师傅通常只负责把线接上，把手机App连上，然后收钱走人。端口映射？那是路由器的事。路由器是谁设置的？可能是用户自己，也可能是宽带装维人员。装维人员一般只保证能上网，不管安全。

“太阳小丑”后来删了原视频。但缓存早就扩散到各个角落。有人把那段字符截图，做成表情包，配文“你家摄像头在我这”。这当然不好笑。可它暴露了一个更荒诞的现实：很多安防设备的安全等级，还不如一个短视频账号的登录验证。

我联系过一位做渗透测试的朋友。他给我看了后台数据：在他随机抽取的200台在线设备里，有37台仍在使用出厂密码“admin”加“12345”。其中一台对着某幼儿园的午睡室。他说这话时语气平淡，像在报菜名。我问他为什么不举报。他说举报过，但对方回复“设备已停用”。实际上那台设备还在线，只是没人看监控画面。

“太阳小丑”事件过去半年后，我在一个二手交易平台上看到有人出售那款摄像头的“破解版固件”。标价9.9元。商品描述里写着：“可看全国，支持回放。”底下有23条评价。最新一条是：“买来玩玩，结果真能看到别人家客厅。已卸载。”

卸载解决不了问题。漏洞还在那里，像一扇没锁的后门。风一吹就开。