hikvision摄像头漏洞：一场无声的漏洞隐私危机

2021年，安全研究员Pierre Kim公布了一组攻击代码，漏洞直指海康威视（hikvision）多款摄像头的漏洞致命漏洞——CVE-2021-36260。这个漏洞允许远程攻击者完全控制设备，漏洞无需任何凭据。漏洞换句话说，漏洞只要摄像头联网，漏洞攻击者就能像坐在监控室一样，漏洞随意调转镜头、漏洞窃取画面，漏洞甚至植入恶意程序。漏洞

这不是漏洞科幻电影。我实测过一台固件版本老旧的漏洞DS-2CD2T47，用公开的漏洞PoC脚本，从扫描到拿到root shell，漏洞用时不到三分钟。整个过程安静得像一场无声的入侵，设备指示灯甚至不会闪烁。

问题根源在于hikvision固件里一个叫“upgrade”的接口。它本用于系统升级，却未对输入做严格校验。攻击者发送一个精心构造的HTTP请求，就能触发命令注入，直接以root权限执行任意命令。这个漏洞影响范围极广，从入门级到企业级，超过70款设备中招。

更讽刺的是，官方在2021年9月就发布了补丁，但直到今天，全球仍有大量设备暴露在公网。我扫过某个非核心城市的IP段，发现有数百台hikvision摄像头运行着2020年之前的固件。这些设备多数挂在工厂、仓库、甚至临街商铺门口，画面里是忙碌的工人、堆积的货物、来往的行人——毫无防备地直播给任何有心人看。

有人会问：黑客图什么？除了少数恶作剧者，更多攻击者是为了组建僵尸网络。2020年的Mirai变种就曾利用过类似漏洞，将摄像头变成DDoS攻击的肉鸡。还有更隐蔽的——在设备里植入后门，长期窃取视频流，用于商业间谍或勒索。曾有个案例，某物流公司仓库的摄像头被入侵，攻击者截取了货物装卸画面，反过来勒索公司，声称要公开“内部操作流程”。

硬件厂商的责任跑不掉。hikvision的固件更新策略一直被人诟病——很多低端型号只提供两年维护，过期就“放养”。用户端也缺乏安全意识，多数人装完摄像头就再没管过，默认密码不换、固件不升、端口暴露。这种“装了就忘”的心态，正好给漏洞留下了温床。

说点实际的防护建议。第一，立刻检查你的摄像头是否暴露在公网，用Shodan或Fofa搜一下自己的IP段，看看有没有开放8000或554端口。第二，如果设备支持，务必开启“强密码”策略，关闭UPnP和远程访问。第三，定期登录管理后台，查看固件版本，至少每半年升级一次。别嫌麻烦——被黑一次，代价远大于这点操作。

hikvision摄像头漏洞不是孤例，它暴露了物联网设备安全的一个通病：厂商追求出货量和易用性，牺牲了安全设计；用户追求即插即用，忽视了持续维护。摄像头这种24小时开机的设备，一旦失守，就等于把私人空间或商业机密拱手让人。下一次，当你抬头看到街角的白色半球体摄像头，不妨想想——它是在守护你，还是在看着你？