内容摘要：鲤鱼跳龙门的故事谁都听过，但鲤鱼要是把龙门的门禁系统给绕过去了，那就不是励志，是事故。去年某地一个水产养殖基地就出了这么档子事：增氧机的控制后台被人用默认密码admin/admin直接登进去，把定时开

鲤鱼跳龙门的安全故事谁都听过，但鲤鱼要是漏洞鲤鱼把龙门的门禁系统给绕过去了，那就不是解说励志，是安全事故。去年某地一个水产养殖基地就出了这么档子事：增氧机的漏洞鲤鱼控制后台被人用默认密码admin/admin直接登进去，把定时开关全改成手动关闭。解说等工人早上巡塘，安全三个塘的漏洞鲤鱼鲤鱼翻了一片白肚，直接损失四十多万。解说事后查日志，安全攻击者从扫描到得手，漏洞鲤鱼总共用了不到七分钟。解说

这事听着像段子，安全但暴露的漏洞鲤鱼漏洞链条特别典型。第一环是解说设备出厂设置——厂家为了调试方便，所有增氧机控制器用同一个固件，默认口令写在说明书第37页，而说明书就贴在机房墙上。第二环是网络隔离：养殖场图省事，把物联网控制器和办公WiFi接在同一个路由器上，等于把鱼塘的命脉挂在了公网上。第三环最要命：没有日志审计，连谁改的配置都查不出来，最后只能吃哑巴亏。

我翻过那款增氧机的固件包，解压后能看到一个叫web_auth.cgi的文件，里面验证逻辑写得跟闹着玩似的——用户名和密码用明文比对，连哈希都没做。更离谱的是，有个隐藏的debug=1参数，加上之后直接跳过登录。这种代码水平，搁在二十年前的论坛程序里都算丢人，可它偏偏装在控制着几十万水产值的工业设备上。

养殖户老周后来跟我聊，说他压根不知道增氧机还能联网。“买的时候销售说手机能远程开，我觉得挺高级，就让人家把WiFi密码设成八个八。”他挠挠头，“谁能想到还有人专门害鱼？”这话听着心酸，但问题恰恰在这儿：物联网设备的下游用户，根本没有安全认知。厂家觉得用户会改密码，用户觉得厂家会做好防护，结果双方在“默认安全”的幻觉里达成默契，漏洞就这么敞着。

类似的鲤鱼漏洞不止这一处。前年江苏有个锦鲤养殖场，投饵机被境外IP扫到，攻击者没搞破坏，而是把投饵记录篡改成“已投喂”，实际饵料根本没撒。等塘主发现鱼长得慢，已经过去半个月。这种攻击更阴——不搞死鱼，只偷你的生产效率。你甚至没法报警，因为损失算不清。

要堵这些窟窿，得从三个地方下手。设备端必须强制首次登录改密码，别给默认口令留活路；网络端把物联网控制网络单独划VLAN，跟办公网物理隔离；管理端加个简单的操作日志，谁在什么时候改了哪台设备的参数，记下来。这三条没一条是高技术，全是工程规范问题。但现实是，很多养殖场连最基础的网络拓扑图都没有，出了事只能重启路由器试试。

我后来给老周的塘口做了个土办法：把增氧机控制器的网线拔了，换成4G DTU模块，只允许特定手机号发短信指令。虽然土，但攻击面从“整个互联网”缩到“一个SIM卡号”。老周挺满意，说这下鲤鱼安全了。我补了句：你手机别丢就行。

鲤鱼不会说话，但它们的死活能说明很多问题。一个行业的数字化程度越高，安全短板就越要命。别等到鱼翻塘了才想起来查日志——那时候日志可能压根没开。