大华摄像头漏洞

2019年，大华洞一个叫"Gunsan"的摄像研究员在GitHub上丢出一份报告：大华（Dahua）旗下多款网络摄像头的固件里藏着一个后门账户。用户名是头漏固定的，密码算法写在固件里，大华洞任何人都能算出来。摄像这不是头漏什么高深的APT攻击，就是大华洞把钥匙插在锁上，然后告诉全世界"锁在这儿"。摄像

我翻过那份报告。头漏涉及的大华洞型号包括IPC-HFW系列、IPC-HDBW系列，摄像基本上那几年国内中小工程商最爱用的头漏几款全中招。后门通过一个叫"Dahua Console"的大华洞调试接口暴露，端口是摄像37777——这个端口本来就是大华私有的DVR/IPC通信协议端口，很多用户为了远程访问，头漏直接把它映射到公网。等于门没锁，还挂了个招牌。

问题出在哪

大华的固件里有一套"认证"逻辑，但它对某些特定请求直接跳过验证。具体来说，magicBox.cgi这个接口在处理特定参数时，会以root权限执行命令。研究人员构造了一个请求，摄像头乖乖返回了/etc/passwd的内容。整个过程不需要任何凭证。

更麻烦的是，这套机制不是某个版本特有的bug，而是从2015年前后的固件就开始存在，一直延续到2019年才被公开。四年时间，够多少设备上线？大华自己没公布过确切数字，但Shodan上暴露的37777端口设备，常年维持在几十万台量级。国内电信、联通的宽带用户，大量中小企业的监控系统，都在这张网里。

厂商的反应

大华在报告公开后发了安全公告，编号DHA-2019-001，承认了漏洞存在，给了修复固件。但修复固件只覆盖了部分型号。我查过当时大华官网的下载页面，不少老型号的固件更新时间停在2017年，根本没有新版本。这意味着什么？那些还在跑老固件的设备，要么换机器，要么就裸奔。

有个做安防集成的朋友跟我说过，他们给客户装的摄像头，只要还能出图，客户就不愿意换。"修什么修，又没坏。"这种心态在行业里太普遍了。安全更新在甲方眼里不是刚需，是成本。

不只是大华

海康威视同年也被曝出类似问题，CVE-2021-36260，同样是未授权访问。两家国内安防巨头，前后脚栽在同一个坑里。这不是巧合。那个年代做网络摄像头的厂商，思路都是"先跑通功能，安全以后再说"。固件开发周期短，测试重点在图像质量和网络稳定性上，安全审计基本没有。

我拆过一台2016年出厂的大华IPC，PCB板上的芯片方案是海思Hi3516A，系统跑的是裁剪过的Linux。telnet服务默认开着，root密码是vizxv——这是大华早期固件的默认密码之一，网上随便搜得到。很多设备出厂后根本没人改过。

现在呢

大华在2020年之后的新固件里加了强制密码修改、关闭了默认telnet、对CGI接口做了权限校验。进步是有的。但存量设备的问题没解决。你去闲鱼上搜"大华摄像头二手"，几十块钱一台的大把，卖家不会告诉你固件版本，买家也不关心。

安全这件事，在安防行业里反而最容易被忽略。摄像头本来是用来看别人的，结果自己成了别人的眼睛。这个讽刺挺到位的。

如果你手里还有2019年之前出厂的大华设备，别管它还能不能用，先看看固件版本。能升级就升，升不了就把它从公网撤下来。别让一台几十块钱的摄像头，变成整个内网的入口。