摄像头比你想的入侵脆弱得多。上周我在自家路由器后台扫了一眼，局域连着的网摄七个设备里四个是摄像头——两个客厅的、一个门铃、入侵一个放在阳台看猫。局域它们全开着RTSP服务，网摄端口554，入侵连密码都是局域出厂默认的admin/admin。这不是网摄个例，是入侵常态。

局域网里找摄像头根本不需要什么高级技巧。局域nmap扫一遍就行：nmap -sT 192.168.1.0/24 -p 554,网摄80,8000,8080。554端口是入侵RTSP，80和8080是局域Web管理界面，8000是网摄大华设备的默认端口。扫出来一堆开放主机，挨个用浏览器打开，登录框弹出来那一刻你就知道——很多连登录框都懒得设。

我试过一台某品牌的家用摄像头。Web界面直接显示实时画面，URL是/video.cgi，连认证都没有。浏览器地址栏敲进去，画面就出来了。那台摄像头对着别人家的院子，能看清晾衣架上衣服的颜色。

有密码的也不难。Kali里自带hydra，配合rockyou字典跑RTSP认证：hydra -l admin -P /usr/share/wordlists/rockyou.txt rtsp://192.168.1.102。家用摄像头密码复杂度普遍低，admin/12345、admin/admin、root/root这几组能覆盖三成以上的设备。跑十分钟，总有一台会中。

拿到访问权之后，RTSP流可以直接用ffmpeg拉下来：ffmpeg -i rtsp://admin:admin@192.168.1.102:554/stream1 -c copy output.mp4。录一段存本地，画质和摄像头本身一样。有些设备还支持ONVIF协议，用onvif-cli能直接控制云台转动——也就是说，你能让摄像头转头看别的地方。

更麻烦的是固件漏洞。去年爆出的CVE-2023-XXXXX影响了一批基于海思芯片的摄像头，telnet端口默认开启，root密码硬编码在固件里。用binwalk解包固件，strings搜一下就能找到。这类设备在局域网里就像没锁的门，推一下就开。

我观察到一个现象：大多数人装完摄像头就不管了。不更新固件、不改默认密码、不关UPnP。有些摄像头甚至主动向外网暴露RTSP端口，Shodan上搜port:554 has_screenshot:true能出来几十万个结果。局域网入侵只是第一步，真正危险的是这些设备往往同时连着外网。

防御手段其实很直接。路由器里把摄像头划到独立的VLAN，禁止它访问其他内网设备。关掉UPnP和端口映射。登录后台改密码，别用字典词。固件有更新就推。如果摄像头支持，把RTSP认证打开，别用basic认证，用digest。

我写这些不是教人使坏。是让你知道，你家那个对着客厅的摄像头，在别人眼里可能就是个没关门的直播间。Kali只是工具，问题出在设备本身的设计和用户的疏忽上。下次连上WiFi的时候，顺手扫一眼局域网里有多少个554端口开着，你会吓一跳。