内容摘要：去年某地公安破获一起案件，某公司监控系统被入侵，嫌疑人只用了三分钟就拿到了全部摄像头的控制权。原因简单到让人无语——管理员账号密码是admin/123456。这不是段子，是真实的出警记录。监控系统弱密

去年某地公安破获一起案件，监控某公司监控系统被入侵，弱密嫌疑人只用了三分钟就拿到了全部摄像头的码漏控制权。原因简单到让人无语——管理员账号密码是监控admin/123456。这不是弱密段子，是码漏真实的出警记录。监控系统弱密码这件事，监控远比多数人想的弱密严重。

很多人以为监控只是码漏"看画面"的东西，被黑了顶多被人偷窥几眼。监控实际情况是弱密，监控系统一旦被控制，码漏攻击者能做的监控事包括但不限于：实时查看所有画面、调取历史录像、弱密控制云台转动、码漏甚至通过监控设备的漏洞跳板进入内网其他系统。2016年Mirai僵尸网络就是拿大量物联网设备（包括监控摄像头）的默认密码做文章，最终搞瘫了半个美国的互联网。设备本身不值钱，但它背后的网络位置值钱。

弱密码到底有多弱？安全研究者做过扫描，公网上暴露的监控设备里，admin/admin、admin/12345、root/root、admin/空密码这几种组合能命中相当比例的设备。海康威视、大华这些主流品牌早期固件的默认密码也基本是公开的秘密。更要命的是，很多安装师傅图省事，装完根本不改默认密码，甚至把设备直接映射到公网，方便自己远程维护——方便了自己，也方便了别人。

问题出在哪儿？一是厂商。早期监控设备的设计逻辑里，安全性排在功能性和成本后面。默认开启UPnP、默认密码写死在固件里、Web管理界面不做登录失败限制，这些都是常见操作。近两年好一些，部分厂商开始强制首次登录修改密码，但存量设备太多了，改不过来。二是集成商和安装人员。监控行业门槛不高，很多施工人员没有安全意识，设备装完能出画面就算交差。你问他端口映射和防火墙规则，他可能觉得你在为难他。三是用户自己。不少小店主、物业公司装了监控之后从来不碰管理后台，密码是什么根本不知道，更别提定期更换了。

攻击者的操作路径其实很清晰。先用Shodan或者ZoomEye这类搜索引擎批量找暴露在公网的监控设备，然后拿默认密码字典跑一遍，能进去的就标记下来。进去之后看设备型号和固件版本，对应找已知漏洞提权，拿到root权限后植入后门或者直接当作跳板。整个过程可以完全自动化，不需要人工介入。一个脚本跑一晚上，拿下的设备可能上百台。

怎么防？最直接的一条：改密码，用强密码。不要用admin、不要用123456、不要用设备型号当密码。密码长度至少12位，大小写加数字加符号。如果设备支持，开启双因素认证。第二条：别把监控设备直接暴露在公网上。需要远程访问就上VPN，或者用厂商的P2P云服务（虽然云服务也有云服务的风险，但比裸奔强）。第三条：定期更新固件。厂商发布安全补丁是有原因的，别关掉自动更新。第四条：如果设备太老、厂商已经停止支持、连固件更新都没有，考虑换掉。一台2015年的摄像头在今天的安全环境下基本等于一个敞开的后门。

说到底，监控弱密码不是一个技术难题，是一个态度问题。厂商愿不愿意在安全上多花成本，施工人员愿不愿意多花五分钟改个密码，用户愿不愿意花十分钟登录后台看一眼。这些事都不难，难的是有人觉得"我这点小破监控谁会来看"。攻击者恰恰就是这么想的——他们不挑目标，只挑好欺负的。