鲤鱼安全漏洞的视频
凌晨两点，鲤鱼漏洞我盯着屏幕上那条鲤鱼标本的安全3D扫描图，后背发凉。鲤鱼漏洞这条鱼不是安全标本，是鲤鱼漏洞活的——准确说，是安全黑客用一条虚拟鲤鱼，撬开了某大型水族馆的鲤鱼漏洞物联网系统。漏洞出在鱼缸的安全自动投食器上，厂商给设备留了个后门端口，鲤鱼漏洞默认密码还是安全admin。攻击者伪造了一条“鲤鱼”的鲤鱼漏洞身份数据包，让系统误以为鱼群密度超标，安全自动开启排水阀。鲤鱼漏洞一夜之间，安全整池锦鲤被抽干，鲤鱼漏洞连带循环泵过热起火，烧掉了半个展馆。
这事听着像科幻片，但漏洞报告是真实的。问题不在那条鱼，在于设备厂商把“低功耗”当成了免死金牌。投食器的单片机连基本加密都跑不动，固件更新靠HTTP明文传输，黑客中途改个字节就能植入恶意代码。更蠢的是，水族馆的监控系统居然和投食器在同一个VLAN里——攻击者从鱼缸跳到门禁，再跳到中央空调，最后摸到了存有会员信用卡信息的服务器。一条鱼引发的血案，链条长到让人想骂人。
我翻了翻漏洞库，类似案例比想象中多。某品牌智能鱼缸的云端API连身份验证都不做，任何人用手机号注册就能调取所有用户的喂食记录、水温曲线，甚至远程开关灯——这等于把人家客厅的摄像头视角交出去了。还有个做水产养殖的物联网平台，传感器数据没签名，黑客伪造“溶氧量骤降”的假警报，逼着养殖户半夜爬起来撒增氧粉，纯粹是精神折磨。这些设备的设计逻辑，像极了十年前的路由器：功能优先，安全靠边。
说实话，我理解厂商的难处。嵌入式设备内存就几百KB，跑个TLS握手都费劲，更别提什么证书校验。但这不是借口。你看人家智能灯泡厂商，哪怕再便宜的型号也强制要求固件签名，OTA升级必须走加密通道。差距不在技术，在态度。有些团队觉得“黑客看不上鱼缸”，可现实是，僵尸网络最爱扫描这类弱口令设备，攒够一批就能发动DDoS攻击。你家的观赏鱼，可能正在帮别人砸网站。
那条鲤鱼视频的结尾，黑客留了句话：“我本想提醒你们，但你们连漏洞报告入口都找不到。”这话扎心。许多厂商的官网只留个客服邮箱，漏洞反馈石沉大海。更可笑的是，某知名水族设备商被曝出漏洞后，第一反应是发律师函给安全研究员，而不是修bug。这行业，缺的不是技术，是敬畏心。
别急着骂厂商，用户也有责任。多少人买回智能鱼缸，第一件事就是改掉默认密码？我猜不到十分之一。多数人连固件更新提示都直接点“稍后”，直到某天鱼全翻了才想起查日志。安全这东西，就像鱼缸里的水质——平时看不见，等鱼浮头了，基本就晚了。你愿意为一条观赏鱼多花五分钟设置复杂密码吗？大多数人连手机锁屏都懒得设，何况是给鱼缸。
那条视频最后，黑客放出了完整攻击代码，标注着“仅供教育”。评论区吵翻了天，有人骂他缺德，有人夸他侠义。我倒觉得，这事最值得警惕的不是攻击手法，而是整个行业的集体无意识——当所有设备都在拼命联网，却没人想过连上的是什么网。鱼不会说话，但数据会。下次你喂鱼时，不妨想想：这条鱼，正在向谁汇报你的起居规律？