黑客破解360家庭监控播放视频

一个智能摄像头被远程唤醒，黑客画面里出现的破解是别人家的客厅——这事不新鲜。去年冬天，家庭监控某论坛上有人贴出一段录屏，播放标题写着“360小水滴，视频随便看”。黑客视频里，破解一个穿睡衣的家庭监控男人正蹲在茶几前吃泡面，镜头角度明显来自墙角那台白色摄像头。播放发帖人没露脸，视频只留了一句话：“默认密码没改，黑客扫段IP就进去了。破解”

这不是家庭监控电影情节。360家庭监控的播放默认安全策略，在部分老型号上存在明显短板。视频很多用户买回来插上电，扫码绑定App，就再也没碰过设置。摄像头的初始密码往往是“admin”或“123456”，甚至有些固件版本压根没强制修改。攻击者不需要什么高深技术，用Shodan这类联网设备搜索引擎，筛出开放554端口的360设备，再跑一遍常见弱口令字典，就能拿到RTSP视频流地址。整个过程，比点外卖还快。

我试过一次。在虚拟机里装了个Kali，用Metasploit的auxiliary/scanner/rtsp模块扫本地网段。十分钟不到，隔壁出租屋那台360 C2就亮了红灯——它正在向我的播放器推送H.264裸流。画面里是空荡荡的阳台，晾着一件灰色T恤。那一刻我后背发凉，因为我知道，如果有人对我家的摄像头做同样的事，我也根本察觉不到。

360后来在固件更新里加了强制密码复杂度，也推了“安全大脑”提醒。但问题在于，大量设备从没联过网升级。它们还停在2018年的出厂状态，像一个个没锁的后门。黑客不需要破解，只需要“找到”。有黑产团队专门做这个：批量扫描、验证、打包成“精品IP库”，按地理位置和画面清晰度标价。一个能看到卧室的摄像头，在黑市上能卖到几十块。买的人图什么？不说也知道。

更麻烦的是，这类入侵几乎不留痕迹。摄像头本身没有登录日志，App也不会推送“有人正在观看”。你回家打开手机，画面一切正常。可就在你上班那八小时里，已经有人把你家当成了免费直播间。我认识一个做安防的朋友，他说过一句糙话：“家用摄像头就是给贼装的。你防的是外人，可外人比你先看到屋里。”话偏激，但道理不歪。

怎么防？别指望厂商默认设置。第一，买回来先改密码，大小写加符号，别用生日。第二，关掉UPnP，别让摄像头自己往外捅端口。第三，如果路由器支持，把摄像头单独划到一个VLAN里，跟手机电脑隔开。第四，不用的时候拿块黑胶布贴上镜头——物理遮挡比任何加密都实在。第五，定期看看App里的“设备登录记录”，有陌生IP就立刻断电重置。

说回那段吃泡面的视频。发帖人后来删了帖，但录屏已经传开。有人评论“这哥们泡面挺香”，有人回“你家地址我都能猜出来”。玩笑归玩笑，可当监控变成直播，被看的不是数据，是人。你换衣服、哄孩子、跟老婆吵架，全在别人的屏幕上跑着。技术没善恶，但用技术的人有。别等画面里出现自己的后脑勺，才想起来改密码。