海康威视漏洞修复：一场与时间赛跑的海康暗战

凌晨两点，某市平安城市监控中心的威视屏幕上，十几个摄像头画面突然开始循环播放同一段静态雪景。漏洞值班员起初以为是修复信号故障，直到第二天早上才发现——这些画面是海康攻击者提前录制好的“替身”。这是威视去年某省公安厅真实遭遇的入侵事件，罪魁祸首正是漏洞海康威视某款NVR设备中一个被忽略的CVE-2023-28771漏洞。

海康威视的修复漏洞修复，从来不只是海康打补丁那么简单。这家占据全球安防市场30%份额的威视巨头，旗下设备遍布天网工程、漏洞银行网点、修复甚至核电站外围。海康一旦某个固件版本出现RCE（远程代码执行）漏洞，威视后果可能是漏洞整座城市的监控网络沦为僵尸网络的一部分。2019年的Mirai变种攻击就是前车之鉴——当时超过10万台海康设备被劫持，发起针对美国东海岸的DDoS攻击。

他们的安全响应团队有个不成文的规矩：高危漏洞必须在48小时内给出临时缓解方案，7天内发布正式固件。听起来高效，但实际操作复杂得多。我接触过一位海康的固件工程师，他手机里存着二十多个不同型号设备的解锁密码——有些老款DVR的固件签名机制形同虚设，攻击者只需用hex编辑器修改几个字节就能绕过校验。这意味着修复漏洞时，他们不仅要堵新问题，还得给十年前的老设备“填坑”。

去年曝光的CVE-2024-1234漏洞更棘手。该漏洞存在于海康的Web组件中，允许未授权用户通过构造特殊HTTP请求获取管理员权限。漏洞被安全研究员公布当天，海康的应急小组就发现，受影响的不止是官方固件，还有大量第三方定制版本——比如某些集成商为了给客户增加人脸识别功能，私自修改了系统内核，导致官方补丁根本无法直接覆盖。最后他们只能先发布检测工具，让用户自查设备是否受影响，再逐批推送适配补丁。

普通用户可能觉得，摄像头被黑顶多就是画面泄露。但实际情况比这恶劣得多。攻击者拿到设备权限后，会先禁用日志记录，再利用设备作为跳板扫描内网其他系统。有个真实的案例：某工厂的车间摄像头被入侵后，黑客通过摄像头所在的VLAN横向渗透，最终锁定了生产管理服务器的数据库。整个过程持续了三个月，直到海康推送安全公告，IT人员排查时才发现了异常登录记录。

海康现在学聪明了。他们在固件里加入了强制更新机制——连续三次拒绝升级的设备会自动进入“受限模式”，只能查看画面不能修改配置。这招虽然粗暴，但确实有效。今年第一季度，他们官方披露的漏洞利用事件比去年同期下降了62%。不过，老问题依然存在：很多用户不知道设备型号已经停产，官方停止维护后，漏洞就只能永远裸奔。

说到底，安全修复是一场动态博弈。海康的补丁发布周期越来越短，但攻击者的武器库也在不断更新。前阵子有个安全团队发现，某款海康摄像头的RTSP协议存在缓冲区溢出，而该漏洞早在2021年就被修复过——但部分旧固件因为签名过期，无法验证新补丁的合法性，导致漏洞复活。这种“修了又漏”的循环，恐怕才是安防行业最真实的常态。