```html

一个周末的黑客下午，我在旧货市场花30块钱买了个360智能摄像头。监控型号是摄像C2，白色塑料壳，黑客镜头边缘有点划痕。监控卖家说“家里换下来的摄像，还能用”。黑客我拿回家插上电，监控指示灯亮了，摄像橙黄色一闪一闪，黑客像在等谁跟它说话。监控

我没急着下载官方App。摄像先拿螺丝刀把底座撬开，黑客里面一块巴掌大的监控主板，联发科MT7628芯片，摄像旁边一颗Winbond的闪存，贴纸写着25Q128。这东西比我想的简单——没有安全芯片，没有防拆开关，连调试串口都明晃晃地焊在板子上，四个圆孔，丝印标着GND、TX、RX、VCC。

焊上排针，接USB转TTL，波特率115200。上电，串口终端里滚出一串U-Boot日志。按回车，直接进了shell，没密码。`#`提示符闪得人心里发毛。`cat /etc/passwd`，root的密码字段是空的。`ls /etc/init.d/`，里面有个`S99hack`——不是官方脚本，是别人留下的后门，开机自动连一个IP，端口4444。

我愣了一下。这摄像头的前主人，要么是个跟我一样的玩家，要么就是个被黑过的倒霉蛋。`netstat -antp`显示它正试图连一个荷兰的IP。我拔了网线，它还在重试，每30秒一次，像一只被关在门外的狗。

360摄像头的配套App叫“360智能摄像机”。我在手机上装了一个，注册账号，添加设备。扫码配对时，App要求摄像头和手机在同一Wi-Fi下，然后发一个UDP广播包，端口32100，内容是一段AES加密的密钥。摄像头收到后回一个包，里面包含设备ID和序列号。整个握手过程没有证书校验，没有防重放。我抓包看了下，密钥是硬编码在App里的，反编译APK就能拿到。

更离谱的是云存储。360的P2P连接走的是他们自己的服务器，但视频流本身用的是一个叫“360P2P”的私有协议。我逆向了一下，发现它其实就是RTSP加了一层异或混淆，密钥是设备序列号的MD5前16字节。序列号印在摄像头底部，谁拿到设备谁就有密钥。换句话说，只要知道序列号，任何人都能从公网直接拉取实时视频——不需要账号，不需要密码。

我在Shodan上搜了一下“360 camera”，结果出来两万多个。大部分在中国，其次是巴西和印度。随便点开一个，浏览器里直接弹出登录页——有些连登录页都没有，直接就是视频画面。一个幼儿园的教室，一个便利店的后门，一个老太太在客厅看电视。我看了三秒钟就关了，后背发凉。

这些摄像头都有一个共同点：UPnP默认开启，端口映射自动做。路由器把摄像头的554端口直接暴露在公网。厂商的初衷是“方便远程访问”，实际效果是“方便任何人访问”。360在2016年发过一个固件更新，关掉了默认UPnP，但只针对新出货的设备。老设备？自己想办法。

我那个30块钱的摄像头，最后刷了OpenWrt，把串口关了，UPnP禁了，RTSP设了密码。它现在只在我家局域网里活着，像个被驯服的野兽。但我知道，还有几十万个同样的设备，正赤身裸体地挂在互联网上，等着下一个路过的人。

这不是360一家的问题。海康、大华、小米，早期产品都一个德行。厂商把成本压到极致，安全模块能省就省。用户买回家，插上电，扫个码，以为万事大吉。没人告诉你，那个小小的塑料球里，藏着一扇没锁的门。

```