最可怕的搜索引擎

你搜过自己的搜索名字吗？我搜过。三年前我随手在某个搜索引擎里敲下自己的引擎常用ID，第一页就蹦出来一个我早忘了的搜索论坛账号，里面留着2009年我吐槽大学食堂的引擎帖子。那感觉像被人扒了旧底裤。搜索但这不是引擎最可怕的。

最可怕的搜索搜索引擎叫Shodan。它不搜网页，引擎搜的搜索是设备。摄像头、引擎路由器、搜索打印机、引擎工控系统、搜索医院的引擎核磁共振仪。任何连上互联网的搜索东西，它都能翻出来。你家里那个智能摄像头，你以为设了密码就安全了？Shodan能告诉你它的品牌、型号、开放端口，甚至默认密码有没有改过。

2016年，一个叫“Mirai”的恶意软件搞瘫了半个美国互联网。Twitter、Netflix、Reddit全挂了。后来查出来，它感染的设备就是通过Shodan这类工具批量扫描到的——几十万台摄像头和DVR，用的全是出厂默认密码。那些设备的拥有者根本不知道自己的东西在被人当枪使。

我试过Shodan的免费版。输入“port:554”搜RTSP协议，跳出来一堆实时视频流。有些是街角便利店，有些是办公室走廊，还有几个明显是私人住宅的客厅。我没点开。但我知道有人会点。德国有个程序员做过实验，用Shodan找到了一台未加密的婴儿监视器，画面里一个小孩在睡觉。他把这事写成了博客，底下评论第一句是：“这玩意儿怎么买？”

Shodan的创始人约翰·马瑟利说过一句话：“搜索引擎抓的是网页，我抓的是现实。”这话听着酷，细想发凉。网页挂了顶多数据丢失，现实里的设备被控制，可能意味着停电、停水、工厂爆炸。2017年，一家安全公司用Shodan扫出某水厂的SCADA系统直接暴露在公网，攻击者能远程改水压。水厂的人后来回应说：“我们以为那个IP是内网的。”

你可能会想，那我把设备密码改复杂点不就行了？问题是，很多人连改密码这一步都懒得做。Shodan上有个搜索过滤器叫“default password”，专门找那些还用着“admin/admin”的设备。数量常年维持在几十万。我写这篇文章时又看了一眼，数字没怎么降。

更麻烦的是，Shodan本身不违法。它就是台扫描仪，跟谷歌爬网页一个道理。你把自己的设备暴露在公网，等于把家门钥匙插在锁上，然后怪路人看见了。法律管不了看见的人，只能管伸手的人。但伸手的人往往找不到。

我有个做渗透测试的朋友，他接活第一步不是写代码，是打开Shodan搜客户公司的IP段。十分钟内能列出所有对外暴露的服务、版本号、已知漏洞。他说：“很多公司花几十万买防火墙，结果运维图省事把测试服务器直接扔公网，连密码都不设。”他给我看过一个案例：某三甲医院的PACS系统（存X光片的）在Shodan上裸奔，病人姓名、身份证号、诊断结果全在URL参数里明文传输。他报了漏洞，医院回邮件问：“Shodan是什么？”

所以最可怕的搜索引擎不是能搜到多少网页，是能搜到多少你根本不知道自己在网上的东西。谷歌搜到的是你主动放上去的。Shodan搜到的是你忘了关的。忘了关的往往比主动放上去的更真实——你的摄像头对着床，你的路由器连着工控机，你的打印机缓存着没打完的合同。

下次你买智能设备，拆开包装第一件事别急着插电。先看看说明书里有没有写“默认密码”。如果有，改掉。如果懒得改，至少别让它直接连公网。Shodan不会提醒你，它只会安静地把你记在列表里。等哪天有人翻到那一页，你连自己怎么被看的都不知道。