2026智能摄像头网络安全检测白皮书-GTG 广测集团网络安全实验室

2 6 6 8 13 2.3合规坐标系：CRA、FCCCyberTrust、CQC智能摄像头 22 30 41 43 3 49 49 55 56 56 59 59 60 60 61 62 68 4 附录A摄像头检测项Checklist（39项速 A.1固件域（FW）与更新链路域（OTA）——16项 A.2设备服务域（DEV）与协议域（NET）——1 A.3移动应用域（APP）与云端域（CLD）——12项 72 77 77 56第一章为什么摄像头需要“真实”的网络安全检测过去十年，联网摄像头从安防工程的专用设备变成了千家万户的标配：看家、看娃、看店、看仓库。公开市场统计普遍估计，全球消存量设备以亿计。与规模一同膨胀的是暴露面——在Shodan、ZoomEye等公开网络空间测绘平台上，任何人都能检索到数以万计直接暴露在公网上的摄像头服务端口；其中相当一部历史已经反复验证了这个风险。2016年，Mirai僵尸网络主要依口令，组建了数十万规模的肉鸡大军，制造了导致半个美国互联网瘫痪的DDoS事件；2021年，某头部云摄像头厂商因内部凭证复用被攻破，15万路企业级摄像头的实时画面一夜暴露；近年的多起云端越权事件中，黑产通过合像。每一次事件的结尾都是同一句话：绝大多数被更关键的是，摄像头是所有IOT品类中代价最特殊的一类：它内置镜头与麦克风，部署在卧室、客厅、仓库与店面，是唯一一台“看得见你家”的联网设备。路由器被攻破的后果是断摄像头的安全缺陷天然具有更强的社会敏感性与舆情放大效应：一次云端泄露事件，足以摧毁7—制造商得知产品存在被积极利用的严重漏洞后，24小时内必须提交早期预警，市场监督机构同步获得抽查与执法权；2027年12月附件I全面强制，罚入零售渠道。对出口厂商而言，“合规”正在从投标加分项变成市场准入的硬门槛（时间•下游客户：海外品牌商与大型渠道商已把网络安全审计写进供应商准入与年度复审——检测报告、漏洞披露政策、支持期声明正在成为与质检报告同级的采购文件。一个正在8•攻击者：针对IOT的自动化攻击已是成熟产业，弱口令扫提取工具链唾手可得。就在上个月（2026年8月安全•2026年9月（本月）起，CRA的漏洞上报义务（Article14）生效：制造商在•2027年12月起，CR需求随之爆发——大量摄像头厂商第一次被要求提交网络安全检测报告。但需求爆发的同时，检测供给的质量分层也在发生：当一家构要拆机提取固件、逆向协议、搭建仿真环境才能给出结论时，两种“检测报告”的价格可以相差十倍，而市场未必分得清它们的区别。监管在9品的“网络安全检测”，其证据来源是客户提交的资料：产品说明书、加密方案描述、安全自评这三个问题都来自本实验室近两年送测样品中的真实发现。它们的共同点是：没有任何一份客户文档会记载它们——没有厂商会在加密方案说明里写“我们的root密码是空的”。这类缺陷只存在于固件字节、二进制代码与网络交互对比维度资料审核式检测固件渗透式检测检测对象客户提交的文档、声明与自评表实体设备+固件+APP+云端服务固件分析不接触固件，依据文档描述多路径提取固件，解包并逐文件审计验证方式文档自证，逻辑核对POC实证：请求响应、抓包、二进制分析发现能力只能发现文档层面的缺失可发现全部八类技术缺陷（见第三章）可复现性无技术过程记录检测项编号+工具命令+证据链，可复核对抗视角无对抗性，假设开发者诚实模拟真实攻击者的完整利用路径成本与周期低，短（天级）高，长（周级依赖实验室能力结论属性对“文档完整性”负责对“产品真实安全状态”负责宜、快、无争议——而真实渗透测试需要拆机一个漏洞证明（POC）担责的准备。当市场主要按价格选择检测服务时，出现什么样的主流回到监管视角。CRA的上报义务不只由制造商自己触发，也由任何第三方触发：安全研究者、竞争对手的检测机构、甚至一位拆了你如果你的“合规”建立在一份资料审核式报告之上，监管者看到的证据链将与真实产品状态全面•检测对象必须是产品本身——设备、固件、APP与云端服务，而不档；防摄像机。车载摄像头、工业视觉设备虽同样受CRA管辖，但检测方法差异较大，不在本书第一章回答了“为什么必须真实地测”。本章定义两个更基础的问题：检测的“对象”到底是什么——它远比一台设备复杂；检测的“依据”到底是什么——法规、标准与检测方法之间，是块可以离线读取的Flash芯片、一组常被固件保留的串口与调试口、一套可以被完整解包的根文件系统、一个装着业务密钥的APP、一套由P2P信令与云API构成的在线服务。检测的第表2-1给出了各资产与历史高发缺陷、检测手段的对应关系。这张表在后续章节会反复出资产历史高发缺陷对应检测手段Flash固件硬编码凭证、空root口令、调试服务自编程器离线读取+binwalk解包+文启件系统审计UART/JTAG串口直接获得rootshell串口监听与交互测试（访问等级见本地网络服务RTSP/Telnet未授权访问、UPnP暴露端口扫描+无凭证直连验证移动APP硬编码密钥、证书校验缺失、本地明文存储反编译+密钥提取+动态Hook云端APIIDOR、对象归属校验缺失、签名可伪造合法租户越权测试+签名重算OTA链路固件无验签、可降级、URL可枚举改包重放+降级刷机验证必须指出摄像头品类的一个行业性放大器：供应链高度白牌化。同一套主流P2P传输方如P2P模块的未授权访问、云存储接口的越权）不会停留在单一品牌——它会随着方案复列出资产之后，第二步是回答：谁、在什么方法论将摄像头划分为四条信任边界（T1-T4每条边界对应一类攻击者、一类前置条件与边界攻击者模型前置条件危害量级对应检测域T1物理接触维修工、回收商、到手攻击者短时持有设备单台+同批固件固件提取与审计T2本地网络同网攻击者（被入侵IOT、访客网络）进入同一局域网家庭内网横向本地服务与协议T3云端身份任意互联网攻击者/恶意租户仅需一个免费账号全平台用户云API与云存储T4供应链组件投毒/缺陷随方案扩散无需直接接触数十个品牌组件指纹与SDK审计这四条边界不是理论划分，而是直接决定检测项的设计：一个只测T3（云API）的检测像”。真实渗透测试的含义，就是以合法方式逐条跨越这四条边界，并在每条边界上留下可复贵的技术就能组建六位数规模的摄像头僵尸网络；企业网络里绝大多数IOT流量至今未加图2-3六个公开数字：摄像头安全已从“加分项”变为“生存项”检测的第二坐标系是合规依据。全球市场正在收敛为三条主线：欧盟以CRA为义务框架、以EN303645/EN18031为技术基线；美国以FCCCyberTrustMark加州SB-327等州法为底线；中国以CQC智能摄像头网络安全规则为专项合格评定路径。此外，日本JC-STAR、澳大利亚智能设备安全标准、英国PSTI等市场各有强制或分级要求。这里必须先澄清一个普遍的混淆：CRA是法规，规定的是制造商的义务（安全设计、漏洞处文件性质强制状态对检测的意义CRA(EU)2024/2847欧盟法规2026.9部分生效，2027.12全面强制定义义务框架与上报时限，不提供测试方法EN303645欧洲标准自愿采用，事实上的出口门槛检测项体系的直接来源（13组provisions）EN18031系列RED协调标准2025.8起无线设备强制CE标志强制前提，与EN303645部分重叠英国PSTI英国法规2024.4起强制条目少而明确，检测项可直接映射FCCCyberTrustMark美国认证自愿认证基于NISTIR8259，零售渠道逐渐要求加州SB-327美国州法2020起生效合理安全特性底线，默认口令先行CQC智能摄像头网络安全规则中国认证自愿性认证，采购与电商渠道逐步采用面向智能摄像头的专项要求，覆盖安全与隐私保护日本JC-STAR日本认证制度2025年起分阶段实施IoT安全符合性标识，按星级分级评估澳大利亚智能设备安全标准澳大利亚法规2025年起强制实施消费级智能设备强制要求，条目对齐EN303645这张表透露出一个对所有检测机构都致命的事实：上列文件几乎全部采用“结果导向（outcome-based）”的表述。EN303645写的是“不得存在通用默认密码”，而不是“请检查/etc/shadow”；CRA附件I写的是“产品应具备与之风险相称的安全能力”，而不是“请反编译APP”；CQC与JC-STAR同样只定义安全目标与分级，不规定测试步骤。结果导向意味着：一份只核对“客户声明”的资料审核，在方法上就无法回答这些条款是否被满足——它只能核对“客户声称满足”。唯一能给出符合性证据的方式，是对产品实施技术实证。这正是检测项体系存在的理由。）：•法规条款→安全目标：把条款语言翻译成不受产品形态影响的安全目标（例如“设备不）；•技术验证点→检测项：为每个验证点赋予编号、访问等级前提、判定准则、证据要求）；以EN303645provision5.4（不得使用通用默认密码）为例，表2-4展示了完整的映射结果。注意判定准则列：它必须是可判定的（“不存在”而非“尽量避免”证据列必须是可复检测项编号技术验证点判定准则证据要求CAM-FW-AUTH-001固件口令哈希审计/etc/shadow等凭证文件中不存在空口令、默认哈希或可逆口令凭证文件提取记录+哈希比对日志CAM-FW-AUTH-002默认凭证字典验证常见弱口令字典对全部登录面（SSH/Telnet/Web/串口）均失败逐登录面测试记录CAM-APP-AUTH-001配网强制改密首次绑定流程强制修改默认口令，且强度校验有效配网流程抓包+绕过尝试记录CAM-DEV-AUTH-001恢复出厂凭证重置后设备不得恢复任何默认/空口令重置后复测记录别映射到固件审计（第四章）、本地服务（5.1）、APP（4.4）等检测域。第三章将给出这套体系的完整定义——检测项编号规则、攻击者访问等前两章回答了“为什么测”与“测什么”。本章给出本方法论的核心：把摄像头网络安全检测从依赖个人经验的服务，重构为一套可分解、可执行、可判定、可复核的工程体系。后续第真实渗透测试不等于“跑一遍扫描器”。对摄像头这样的多面体产品，有效的检测必须由四种互补的测试类型组成：静态分析发现线索（固件里的口令、APP里的密钥逆向分析还原能力（签名算法、协议格式、加固强度动态测试产生证实（POC、抓包、端到端利用配置核查守住基线（调试接口、暴露面、权限声明）。图3-1给出了四种类型在四个攻矩阵的使用方式：先按列规划攻击路径（一个云存储越权往往要跨APP、协议、云端三“线索”。本方法论的硬性要求是：报告中的每一条Fail结论，必须有至少一条动态证据支撑。这也是真实渗透测试与纯扫描器交付的分水岭同一个缺陷，在不同访问等级下的意义完全不同：串口直出的rootshell对居家用户风险平台用户。因此本方法论不问“漏洞存在吗”，先问“攻击者需要什么前提”。我们把攻击者能力等级前提条件典型攻击面CVSS对应危害量级L0无凭证远程仅网络可达，无任何凭证RTSP/Telnet/云公开接口AV:N/PR:N单台至全网L1合法租户一个免费注册的账号云API/P2P/APP业务流AV:N/PR:L全平台用户L2短时物理接触持有设备数小时串口/配网/恢复出厂AV:P单台+同批固件L3全权访问拆机+编程器+离线审计固件/密钥/OTA链路AV:P（离线）全供应链复制级分组呈现——采购方有权知道“攻击者需要什每个检测项由六个要素构成：编号、名称、访问等级前提、测试方法（对应3.1矩阵中的一格或多格）、判定准则、证据要求。其中判定准则必须写成可判定的形式——“不存在空口判定含义报告呈现要求验证结果满足判定准则至少附一条动态通过证据（如重置后默认口令登录失败的实测记录）验证结果不满足判定准则附POC与完整证据链，标注访问等级与严重度Partial部分满足或存在条件性满足说明残余风险与缺口（如限速存在但阈值过宽）该检测项对被测型号不适用说明理由（如无BLE模组则配网类检测项标N/A）可利用，就不是闭环。严重度采用本体系的四级定义（报告同时给出C严重度定义典型示例P0严重可导致大规模隐私泄露、设备被完全接管或远程代码执行云存储越权删除、云签名密钥硬编码、未认证取流+设备接管P1高特定条件下越权，或敏感功能未授权访问固件OTA无验签、账号可枚举+无爆破限速、调试服务常开信息泄露或需较高前提才能利用的缺陷固件版本信息泄露、本地明文日志、内网拓扑泄露P3低安全加固缺失，暂不直接导致泄露二进制未开RELRO、防拆检测缺失、日志策略过宽体系如何运转？七个阶段构成一个闭环（图3-4立项定范围、物料准备、资产测绘、拆解、一台接线、一台保留）、指定版本APP安装包、云端测试租户与授权函，缺一项就有一条检测域整体降级；其二，静态审计与动态验证每条线索进入验证队列，验证中的新发现（如解出的密钥）又反哺静态审计扩大搜索面；其三，报告阶段的价值不在文字而在归档——每条Fail都把证据按检测项编号装订成包，客户工程化的意义在此显现：任何合格的安全工程师按SOP执行，都能复现大部分标准发现；专家经验不再消耗在重复劳动上，而是聚焦最难的20%——链式利用构造、私有协议逆操作者、命令（或请求）原文、响应原文——）：证据类型标注附加要求被测样品工具输出等）实测（已脱敏）命令原文完整保留，脱敏仅针对敏感字段抓包与请求响应记录实测（已脱敏）保留时间戳、会话序列与完整报文结构开源固件/自建环境的复现输出复现环境演示明确声明环境构成，不与被测样品结论混排架构、流程与统计说明图示意图不与实测数据混排，不用于支撑Fail结论查与整改复测时的原始对照。这一分工既保端接口动辄上百个端点——人工全量覆盖不现实，人工抽检必有遗工确认”。本实验室的工作法将AI严格限定在三个区间的第一）：图3-6AI辅助审计：AI负责初筛、人工闸门判定、AI禁区四类已经工程化的AI任务：固件文件系统全量敏感模式扫描（密钥格式、口令字段、调试开关、硬编码地址反编译伪代码的疑点路径标注（越权调用链、加密误用、证书校验缺失法规条款与检测项的映射草稿（第三章2.4的三层翻译由AI生成初稿、人工校准报告文字规范化（把工程师的技术记录转写为符合报告体例的表述）。在本实验室的对比实践律由工程师人工执行与确认；所有检测项判定由人工依据实际运行结果作出并担责。这条底线不是对AI能力的怀疑，而是检测机构对报告签名负责任的必然要求——出具结论的人必须亲与判定准则定义结论颗粒度，SOP定义运转节奏，证据链定义可信度底固件是摄像头的大脑与记忆：口令、密钥、服务、更新逻辑，全部封装在几MB到几十MB的镜像里。第一章列举的三类高频问题——空口令、硬编码密钥、固件无验签——全部只能在固件层发现。可以说，是否具备固件层测试能力，是“报表检测”与“真实渗透检测”之间的第一条分水岭。本章按获取、静态分析、动态分析、大多数检测流程正是止步于此。本方法论归纳了五条获取路径（图4-1覆盖从纯远程到全两条物理路径的实操要点：UART串口是性价比最高的入口——拆开外壳后在PCB上寻找三四个一组、丝印为TX/RX/GND（或3V3）的焊盘，用USB-TTL线连接，以11520常见波特率逐个试探；若设备直出Linuxshell或U-Boot可中断（启动倒计时窗口内按任意键即可在设备内部直接dd读取各mtd分区。编程器W25Q系列）以SOP8夹具连接CH341A，flashrom直接读出完整镜像——这条路径绕过全三条数字路径的成本更低：OTA链路下载只需抓取一次升级无鉴权、可版本枚举（第六章案例五的完整复现公开渠道收集包括厂商支持页的升级包、配网SDK在本地的缓存目录；供应链渠道则关注方案商流通的SDK与公版固件——一个底层路径访问等级关键工具优势局限与风险UART串口读取USB-TTL·minicom快，顺带验证调试口部分设备焊盘有防护编程器离线读取L2/L3CH341A·flashrom最彻底，绕过软件防护需拆焊或夹具，有损风险OTA链路下载Burp·抓包脚本零接触，可批量依赖方案缺陷公开渠道收集检索·版本比对成本最低版本可能滞后供应链渠道方案层SDK指纹比对影响面评估最有效来源合法性需审查执行策略：五路径并行尝试、取最快抵达；无论走哪条路径，全程记录来源、工具与命拿到镜像后的第一步是递归解包：binwalk识别固件头与文件系统魔数，-Me参数自动提取SquashFS、JFFS2、cramfs等常见格式，还原出完整的根文件系统树。此后的工作就是对这棵树做四类全量审计（图4-2）。本节穿插的终端截图均为本实验室开源固件复现环境的解包完成后，第一优先级是凭证面：直接检查查看etc/shadow的配置项，发现root密码项为空（空密码）dropbear配置允许root密使用7zip解压固件squashfs文件系统后的文件列表窗口。列出大量LuCIWeb后台前端审计对象关注点典型发现/etc/shadow·/etc/passwd空口令、默认哈希、可逆口令root口令为空或与出厂值一致dropbear/sshd/telnetd配置root登录允许、口令认证开关、自启项rcS默认拉起telnetdlib目录与业务二进制硬编码密钥、签名盐值、内嵌so库内嵌AES密钥与云端签名盐web目录与CGI硬编码凭证、调试页面、注入点遗留调试接口无鉴权第三方组件版本指纹→公开CVE比对老旧busybox/openssl版本凭证之外的第二条主线，是对全量文件系统做敏感关键字扫描：以password、secret、token、dropbear、ssid等关键词逐文件检索并统计命中。图4-6是这条主线在复现环境中的熵分析是容易被忽略的支路：对镜像做滑动静态审计的最后一项是二进制加固基线：对根文件系统中全部ELF可执行文件检测PIE、NX、StackCanary与RELRO四项加固的开启比例。它不直接产出漏洞，却决定了内存破坏类缺陷的可利用性——图4-8的复现实测中，197个二进制里PIE开启率仅37%、再次强调第三章的分水岭规则：本节全部产出都只是“线索”，必须进入动态验证队列闭环）：真机环境的三个动作：其一，串口shell实测——连接UART验证是否直接获得未鉴权rootshell（对应CAM-FW-AUTH-003其二，启动日志审计——大量固件在启动时打印内网拓扑、云平台地址甚至凭证；其三，改包重刷——修仿真环境的价值在于提速与放大：用户态仿真以qemu-arm-static配合-L指定根文件系统，逐个运行可疑二进制观察行为；全系统仿真（firmadyne等框架思路）以匹配的内核镜像拉起完整启动流程与网络服务，适合批量筛$$qemu-arm-static-Lsquashfs-root/squashfs-root/bin/busyboxuname-marmv7l$qemu-arm-static-Lsquashfs-root/\squashfs-root/usr/bin/cloudagent--dry-run2>&1|head-5[cfg]load/etc/cloud.confok[[key]signkeyloaded(len=32)<-与静态审计发现的密钥相互印证OTA是固件的供应链：从云端构建签名到设备刷写重启，五个环节中任何一处失守，攻击者就能把“自己的固件”变成“你的固件”。检测围绕五问展开（图4-10固件是否签名？签核心方法是改包重放：从根文件系统中修改任意一个配置文件，用mksquashfs重新打包，替换镜像中对应分区后通过串口或升级通思路用于防降级测试：将旧版本镜像刷回，观$$mksquashfsrootfs_patched/new.squashfs-noappend-compxz$ddif=new.squashfsof=flash_full.binbs=1seek=196608conv=notrunc$flashrom-pch341a_spi-wflash_full.bin#设备重启，串口启动日志（节选）：[0.912]SquashFS:mountedok<-无任何验签环节[1.408]cfgpatched:debug=1<-修改已生效#判定：CAM-OTA-UPDT-001=Fail（未签名校验，P0）环节检测方法Fail判定依据构建与签名改包重放+启动日志审计修改后的固件正常启动，无验签失败记录分发服务器URL规律分析+版本枚举可无鉴权遍历下载任意/全部版本设备请求下载通道抓包明文HTTP或无令牌即可获取完整固件本地校验CRC替换对照实验仅校验CRC/CRC32，无密码学校验刷写与版本策略降级刷写尝试旧版本可回滚且恢复已知漏洞行为编号名称等级判定准则要点严重度CAM-FW-AUTH-001口令哈希审计shadow等凭证文件无空口令、无默认哈希CAM-FW-AUTH-002默认凭证字典全部登录面对常见弱口令字典均拒绝CAM-FW-AUTH-003串口shell防护UART不得直接获得未鉴权rootshellP0/P1*CAM-FW-SCRT-001云端签名密钥硬编码固件中无可伪造云请求的密钥或盐值CAM-FW-SCRT-002内嵌证书与私钥无可提取的私钥或跨设备通用证书CAM-FW-SCRT-003第三方凭证硬编码无云服务AccessKey、推送SDKSecretCAM-FW-CONF-001调试服务常开telnetd/dropbear不随出厂固件CAM-FW-CONF-002启动服务最小化rcS启动面与产品声明功能一致CAM-FW-INFO-001版本信息暴露公网可达接口不泄露版本与编译信息CAM-FW-CONF-003二进制加固基线关键守护进程PIE/NX/RELRO全开CAM-OTA-UPDT-001固件签名校验改包重刷必须被启动链拒绝CAM-OTA-UPDT-002防降级机制拒绝回滚至带已知缺陷的旧版本CAM-OTA-UPDT-003下载通道鉴权固件URL不可无鉴权枚举下载CAM-OTA-UPDT-004分发服务器隔离版本目录不可遍历、不可枚举CAM-OTA-SCRT-001升级凭证硬编码升级组件无内嵌服务器凭证CAM-OTA-UPDT-005传输加密完整固件不得经明文HTTP下发注：*串口shell的定级取决于可达性——若shell可直接读写业务数据或持久化后门，按号一经发布保持稳定，复测按原编号闭环。固件层（FW/OTA域）至此完成；下一章转向设备的关联攻击面——本地服务、移动APP、云端API与通信协固件是根，但它并不孤立：摄像头以一组本地服务对内对外提供能力，以APP与云构成完整的业务闭环。攻击者从不按“层”进攻——他们从最薄弱的任何一面切入，再横向串联。本章按设备端服务（DEV）、移动APP（APP）、云端API与云存储（CLD）、通信协议设备端检测从一张端口地图开始：全端口扫描（TCP+UDP）、服务指纹识别，然后对每个监听服务回答同一组问题——是否需要认证？是否需要存在？是否限速？图5-1给出了消图5-1设备端开放服务攻击面：其中最典型也最致命的是取流服务。某送测样品的RTSP服务（554端口）不要求任何认证：在同一网络（甚至公网直连）用VLC打开rtsp://IP即可观看实时画面——攻击成本为零，危害直指隐私核心。同类问题还出现在管理面：CMS服务的登录接口允许用户名枚举且没有任何限速，WebSocket服务接受无凭证握手并可下发控制指令。这些缺陷的技术含量都服务常见端口检测动作Fail示例（已脱敏）RTSP/ONVIF554/8899无凭证直连取流·设备信息枚举VLC直连即出实时画面（P0）HTTP管理面80/443默认口令字典·调试页目录扫描遗留调试页面无鉴权CMS/私有服务8000等用户枚举·爆破限速测试用户名可枚举且无限速WebSocket/私有协议动态无凭证握手·指令越权下发匿名连接可控制云台Telnet/SSH23/22后门账户字典·出厂凭证验证硬编码万能口令APP是摄像头业务链上泄露最集中的资产：它内置云端通信的全部密钥与签名逻辑，却以最容易被拆开的形式分发。检测按五步流水线执行（图5-2）：获取与被测固件版本对齐的APK→静态反编译→敏感面标注→图5-2移动APP检测流水线三类经典模式值得展开。其一，自实现加密形同“加密”，审计发现密钥硬编码在包内，且加密函数只做了一次固定替换——用提取的密钥构造（第六章案例二）。其二，TrustAllManager：信任所有证书的调试代码残留发布在正式包中，中间人可截获全部HTTPS流量——静态标注定位后，用Frida动态确认中间人实际可$$jadx-dout/camera-app.apk$grep-rn"TrustAll\|X509TrustManager"out/--include=*.javaout/../NetConfig.java:publicvoidcheckClientTrusted(...){}//空实现$grep-rnE"(aes|secret|sign).{0,24}=\s*\""out/--include=*.javaout/../ApiUtils.java:privatestaticfinalStringAES_KEY="a****good";out/../ApiUtils.java:SIGN_SALT="s****2019";//已脱敏云端是唯一“零物理接触”就能触达全体用户的攻击面，也因此是危害量级最大的一域。本方法论使用双租户模型执行越权测试（图5-3）：实验室注册两个合法租户A与B，B持自己的录像ID发起请求，三步之内删除成功，并用多台真实设备完成端到端验证——对象归验整体缺失，参数可枚举使攻击可规模化（CAM-CL样品的核心API四道关卡（签名绑定会话、归属校验、不可枚举ID、限速与脱敏错误响应）POST/api/v1/record/deleteHTTP/1.1Authorization:Bearer<token_B><-租户B自己的合法登录态Sign:<sig_B><-用APP内置密钥合法计算{"record_id":"100234"}<-租户A的录像ID（可枚举）HTTP/1.1200OK{"code":0,"msg":"success"}<-删除成功（Fail：归属未校验）#对照：正确实现应返回403对象不属于当前用户，且不泄露存在性协议域检测的对象是“流动中的数据”。图5-4标出了四条链路与四个抓包点：配网 配网是隐私泄露的隐蔽入口：广播/softAP类配网若明文携带SSID与口令，攻击者在配网窗口期内即可截获家庭Wi-Fi凭据；二维码配网则需评估凭据编码是否可被旁路获取。取流链路重点验证“加密有效性”而非“有无加密”：某样品的私有流协议使用固定密钥异或“加密”——密钥就在固件里，抓包还原即为明文（呼应4.2的密钥提取一条“关闭移动侦测”或“开门”类控制指令原样重发，若设备执行即Fail——家庭物理安全的最P2P链路需要单独说明：大量白牌方案使用第三方P2P组件打通公网访问，检测必须回答三个问题——P2P会话是否与账号绑定、中转服务器能否独立建立会话、组件是否有公开编号名称等级判定准则要点严重度CAM-DEV-AUTH-001取流服务认证RTSP/ONVIF/私有流必须强制认证CAM-DEV-AUTH-002后门账户排查不存在硬编码账户与万能口令CAM-DEV-CONF-001暴露面最小化非声明功能端口不对公网开放CAM-DEV-CONF-002服务会话鉴权CMS/WebSocket等禁止匿名连接与指令下发CAM-DEV-CONF-003登录限速锁定全部登录面具备限速与锁定策略CAM-DEV-INFO-001服务指纹最小化Banner与响应不泄露版本/型号/拓扑CAM-NET-SCRT-001传输加密有效性视频流与控制指令不可被还原为CAM-NET-SCRT-002密钥管理无固定密钥、无跨设备密钥重用CAM-NET-AUTH-001指令防重放控制指令绑定会话，重放必须失效CAM-NET-PRVC-001配网隐私配网过程不明文传输家庭Wi-Fi凭据CAM-NET-CONF-001P2P会话绑定P2P会话与账号绑定，中转不可独立建会话CAM-APP-SCRT-001硬编码密钥APK中无可提取的业务密钥与签名盐CAM-APP-SCRT-002加密实现有效性自实现加密与密钥强绑定，密文可被伪造即FailCAM-APP-CONF-001证书校验无TrustAll残留，中间人截获必须失败CAM-APP-INFO-001本地敏感存储token与凭证不明文落盘CAM-APP-CONF-002组件导出面导出组件最小化，敏感组件不对外暴露CAM-APP-PRVC-001日志与缓存日志/缓存不含凭据与敏感数据CAM-CLD-ACCS-001对象归属校验任意租户不可跨对象读写删（端到端验证）CAM-CLD-ACCS-002参数可枚举性设备/录像ID不可顺序遍历CAM-CLD-CONF-001接口限速注册/登录/校验接口具备限速与锁定CAM-CLD-INFO-001错误响应脱敏错误信息不泄露签名、内部状态与存在性CAM-CLD-SCRT-001密钥治理云端安全不依赖客户端保密的密钥CAM-CLD-PRVC-001云存储访问控制对象存储按目录隔离，禁止公开读写号、等级与判定准则体系。下一章用六个真实案例演示这套体系如何在实战中运行——从单点本章用六个案例演示前五章的体系如何实战运行。每一个都完整走完“检测项编号→证据链→定级→条款映射→复测口径”的闭环，它们还有一个共同点：没有一个依赖0day——这正是最值得行业警醒的地方。图6-1给出六个案例与六个检测域的映射总览。步骤一（固件获取与解包）：对拆解机以CH341A编程器夹具读取SPIFlash，获得8MB树——过程与图4-3的复现演示完全同型。凭证审计确认root口令字段为空且dropbear允许步骤二（密钥提取）：反编译配套APP，在云端通信工具类中定位请求签名算法：请求码中。用FridaHook运行时函数确认实际使用的密钥与静态提取值一致——静态与动态相互印证，排除编译期变形的可能（对应CAM-FW-SCRT-001步骤三（签名伪造与越权删除实测）：按APP的算法，以攻击者自己的合法登录态为受害设备重算签名，向删除接口发起请求。这一步在复现环境中完整重演（图6-3）：请求携带）：（对应CAM-CLD-ACCS-002录像ID为全局递增整数，实测区间8275~28，可直接遍历；录像文件名为纯时间戳格式（YYYYMMDDHHMMSS.mp4完全可猜携带租户A的设备与录像ID请求删除，三步之内删除成功；对自有设备、他人设备与随机设备ID分别验证，全部返回成功；再以多台不同批次的真实设备重复验证，结果一致。值得记录的是同一样品存在两条到达同一终点的路径：路径A为“反编译APP提取密钥直接签名”再以泄露签名重发”（五步，纯HTTP请求、无需任何逆向）——后者意味着连反编译这一步都不需要，云端用自己的错误提示替攻击者完成了）：这条路径连反编译都不需要，—服务器用自己的报错信息替攻击者完成了签名计算（对应CAM-CLD-INFO-001，错误响应泄露内部值）。攻击门槛从“会逆向APK”拉低到“会发部缺陷的重灾区（密钥硬编码、归属不校验、签名泄露、HTTP明文而新版服务器做了归属校验——非授权设备请求列表返回空、删除接口校验录像与设备的绑定关系。新旧并存且客户端仍保留旧入口，意味着厂商已经知道怎么修、也已在新系统上修对了，但旧系统没有下线，防线形同“新修的大门旁边留着敞开的老门”。这也是本方法论的定级原则之一：修复以“全入口闭环”为准，新系统合格不抵消旧系统Fail。顺带一提，该样品的核心API域（权限隔离、注入防护、枚举防护）全部通过——最终综合评级仍为“较差”。结果导向的合规要求的是检测项证据类型标注定级CAM-FW-SCRT-001密钥硬编码固件解包记录+APP反编译片段实测（已脱敏）CAM-CLD-ACCS-001归越权请求响应+多设备操作录像实测（已脱属校验缺失敏）CAM-CLD-ACCS-002参数可枚举枚举脚本与命中统计实测（已脱敏）定级论证：以CVSS3.1度量核心结论（越权删除），向量为AV:N/PR:L/UI:N/S:C/攻击全程呈“合法请求”形态，不触发任何告警——检测与防御体系对它完全失明。三条占其一理，缺陷长期未被发现说明缺少安全测试环节）、CRA附件I安全设计要求。修复建议：云端安全模型必须假设客户端密钥必然泄露（CAM-CLD-SCRT-001）——签名改绑定会话、服务端强制对象归属校验、对象ID换用不可枚举随机标识；客户端侧清理硬编码密钥。复测口知明文观察输出，确认运算仅为固定字节替换、务请求，观察服务端是否区别对待（实测复演见图6-5，加密请求与明文请求的响应完全一致）——“加密”既不防解密也不防伪造，只防君子。第四步，旁证扩大：同一样品还发现TrustAllManager证书校验空实现，中间人可截获全部HPOSTPOST/api/device/list<-加密请求（正常客户端）X-Enc:v1Body:<base64...>POST/api/device/list<-同业务明文重放（攻击者）{"page":1}两请求响应完全一致=>“加密”仅存在于传输形式，服务端不校验（已脱敏）密钥泄露的规模效应同样触目惊心。密钥扫描工具对同一APK的全量审计显示：除业务签名密钥外，还硬编码了云厂商访问密钥（AWSAccessKey）、构建仓库（Artifactory）密码、第三方平台密钥，以及横跨多条业务线的16组以上APISe密后得到完整的线上基础设施清单：API域名、消息服务器、四组备用域名与多组MQTT接入点。攻击者拿到这一份配置，等于拿到了下一步攻击的完整地图（对应CAM-APP-SCRT-001/CAM-FW-SCRT-003）。试接口：加密绕过、签名伪造、签名泄露、IDOR越权拿到MQTT地址→尝试连接物联网消务级错误码，而非401/403——端点的存在性、版本状态乃至密码重置接口的位置，都免费提供给探测者（对应CAM-CLD-INFO-001/CAM-CLD-CONF-001）。同一样品还检出了SQL语句拼接、8个开发内网IP、仍在线的测试环境域名与暴露后端框架类型的详细错误响修复方向：放弃自实现加密，改用标准TLS+证书校验；若需应用层加密，密钥必须每会话协商且服务端强制校验；TrustAll代码进入发布门禁扫描。复测口径：明文请求必须被拒绝；中间人抓包必须失败；Hook加密函数的输出必须随会话使用nmap对端口存活进行探测，发现rtmp、hls、webrtc端口同时开放，暴露面远超功图6-7端口测绘：rtsp/http/r图6-8未认证直连取流：ffprobe不加任何凭证直接获得图6-10Web指纹识别：whatweb直接提取服务型号与版本（对应使用Hydra对摄像头Web管理后台进行弱口令爆破测试,使用密码字典对8080端口配套的APP内容管理系统（CMS）存入定向爆破；媒体库885张素材可匿名批量下载。这三项都不在摄像头本体上，却同属客户资产、同批送检——本方法论将其归入云端域的信息泄露与限速检测项（CAM-CLD-INFO-001/CAM-CLD-CONF-001并在报告中以“连带发现”单独成节：安全检测的范围必须以资横向对比：在公开网络空间测绘平台检索同类方案备暴露在公网——单台缺陷因供应链复制成为规模性暴露（呼应2.1）。定级：CAM-DEV-AUTH-001（取流无认证，P0）+CAM-DEV-CONF-003（无限速，P1）+CAM-DEV-CONF-001（暴露面过宽，P1）。核心项的CVSS向量为AV:N/PR:N/UI:N/S:C/C:H/I:L/A:L，基础分9.3（Critical）——无需凭证、无需交互、可远程批量利用，且泄露内容是摄像头品类中最敏感的实时画面。P0定级不存在争议：攻击者看到的不是复方向：取流服务默认强制摘要认证并随机生成设备凭据；关闭非必要服务；UPnP自动端口映射默认关闭；登录限速与锁定。复测口径：无凭证取流必须失败；对管理面的枚举与爆破在单看每一项都是P1/P2，组合起来却是完整攻击链——本案例演示“链式思维”如何放大危害：TrustAll证书校验缺失（截获流量）→本地明文token（提取登录态）→硬编码签名密）：合法token——全程无需接触用户手机。路径二（终端侧）：对root设备提取APP本地存储，直接读出明文token与缓存录像——攻击者只要拿到一部装过该APP的手机即可。两条在线的测试环境域名（广告、支付、Dubbo测试接口可达）、暴露后端框架与内部类名的详单项都不高危，但它们把厂商的基础设施拓扑、环境划分与代码习惯完整地摆在了攻击者面前——后续任何定向攻击的侦察成本因此趋近于零（对应CAM-APP-INFO-001/CAM-CLD-缺陷组合可达危害攻击前提TrustAll（单独）同网截获全部HTTPS流量L2同网位置明文token（单独）拿到手机即冒充用户L2物理接触手机TrustAll+硬编码密钥截获+伪造，完全接管会话L2同网位置三者并存（本案例）任选最低成本路径冒充任意用户L1/L2，成本最低路径生效陷条目之外单独呈现“攻击链条目”，其定级按组合危害上调——本例链级结论定为P0。这避免了两个常见错误：把P1堆叠误报成P0（未验证组合或把链式P0拆散成一堆P1（低估危害）。这正是第三章测试类型矩阵的价值：三个缺把它们放进业务链里动态串联，才能看到真实的综合风险。报告按“缺陷条目+攻击链”双层呈历版本号即可下载任意历史固件——L0无凭证即可完成（4.1路径三的改包重放：对下载固件实施4.4的完整流程——修改根文件系统中的一个配置、mksquashfs图6-14篡改敏感性验证：单字节改动后SHA256完定级：CAM-OTA-UPDT-001（无签名校验，P0）+CAM-OTA-UPDT-003（通道无鉴P1）。核心项P0的理由有三：固件级控制是持久化的——用户无法察觉也无法自行清除；一测口径：改包重刷必须被启动链拒绝；URL无令牌请求必须403；旧版本刷入必须被版本策从公开CVE出发，验证同样的缺陷在“你的产品”上是否存在。复盘对象选取近三年嵌入行——ONVIF恰恰是第五章5.1的常规•海康Hikcentral授权绕过（CVE-2024-25063，2024年3授权控制缺陷使攻击者绕过鉴权访问受限URL——监控平台侧的越权，与本书云端域时效性佐证就在本书成稿前夜：2026年8月，安全厂商披露代号CameraSwarm活动——攻击者以凭据填充与弱口令在35天内批量接管了1.4万余台大华摄像头。这不是历复盘方法：组件指纹识别（对照4.2的第三方组件审计）→版本比对→靶场复现验证利用条件→对被测样品实测。表6-3给出CVE与检测项的映射——每一份公开CVE都应沉淀公开漏洞受影响组件类型对应检测项批量排查方法CVE-2025-31700大华IPC/SD系列ONVIF栈溢出CAM-FW-CONF-002组件版本指纹+靶场验证CVE-2025-31701大华RPC上传组件溢出/RCECAM-FW-CONF-002组件版本指纹+靶场验证CVE-2024-25063海康Hikcentral授权绕过CAM-CLD-ACCS-001受限URL直连测试解风险量级，工程师要能按编号直接整改，合规团队要能把结论直接搬进法规应答材料。图味着什么”；其二，报告自检四问：每条Fail是否有动态证据？每条结论是否有编号？每个编定级采用双轨制：对内用本书P0-P3四级驱动整改优先级，对外同时给出CVSS3.1向量保证跨机构可比（对应关系见附录D）。条款映检测域EN303645（代表条款）CRA附件IEN18031英国PSTI6.1避免硬编码凭证；5.1禁用通用默认口令；5.4安全存储敏感参数(2)安全设计与默认配置18031-1认证与安全存储默认密码禁令OTA更新5.3保持软件更新(2)(c)更新机制与签名18031-1安全更新更新支持期声明DEV设备服务5.6最小化暴露攻击面；5.11输入校验(2)攻击面控制18031-1访问控制—（仅消费设备条款）NET协议5.5安全通信(2)通信保密与完整性18031-1保密性 APP移动端5.4敏感参数存储；6.1硬编码凭证(2)最小权限与凭据管理18031-2隐私保护 CLD云端5.7个人数据完整性；5.2漏洞披露与管理(1)漏洞处理与上报18031-1会话保护合规声明义务表7-1检测域与法规条款映射总表（代表性映射，完重漏洞”，而是“11个严重漏洞中，X条对应CRA附件I的安全设计要求、Y条645provision6.1”——整改与合规应答从此用同优先级整改时限典型内容验证要求P0严重立即(≤7天）云凭证轮换、旧服务器下线、归属校验补齐原始POC回归+出具临时缓解说明P1高30天OTA签名机制、认证补齐、限速策略原始POC回归90天信息泄露收敛、错误响应脱敏、加固基线抽检回归P3低下一版本二进制加固、日志策略优化版本交付时验证户端加密算法，服务端仍接受明文（案例二其二，遮盖式修复——加WAF拦截探测流的新旧S3服务器并存）。复测口径因此坚持“全入口闭环”：任何一条历史路径可达，该检测复测不是“再看一眼”，而是按检测项编号执行的回归工程（图7-2）：整改方提交变更清单，检测方以原始POC按编号逐条重放——禁止降级为人工核对或文档审查；修复引入的新代码触发相邻域抽样回归；复测结论三选一：全闭环、部分闭环（列明未闭环项与新定级）、CRAArticle14对制造商的要求是刚性的：得知产品存在被积极利用的严重漏洞后24小警窗口内拿不出“影响范围、利用条件、复现证据”三件套。表7-3给出上报要素与检测机构可上报要素内容要求检测机构可提供的支持早期预警（24小时）漏洞描述·严重性初判·是否被积极利用·已知影响范围漏洞情报监测+快速复现确认+证据包模板完整报告（1个月）技术细节·影响评估·缓解与修复进展·用户建议根因分析（固件级定位）+修复方案评审整改证据修复版本信息·回归测试结果·遗留风险声明按编号闭环的复测报告（7.4）持续义务补丁发布·用户通知·后续版本跟踪版本升级触发复测（7.4）+通道测试本实验室专注于消费级IOT产品（当前以联网摄像头为核心）的网络安全合规检测与渗获取与解包分析工位（编程器、串口、仿真集群）、网络与协议测试环境（隔离局域网、抓包与取流验证）、移动APP静态动态分析链（反编译、Hook、加固检测）、云端双租户越权测服务类型适用场景交付物周期参考出口合规检测欧盟/英国上市前准备检测报告+条款映射+整改清单10–15工作日上市前渗透测试新品发布前风险摸底完整报告（含攻击链）+证据包10–15工作日供应链/供应商审计品牌方准入与方案选型组件指纹与方案对比报告5–8工作日CRA证据准备支持2027.12全面强制前差距分析+证据包标准化按项目定制整改复测修复完成后闭环复测报告（编号闭环）3–5工作日漏洞监测订阅上市后持续合规周期情报+影响验证持续服务表8-1服务矩阵（周期为单型号典型参考附录A摄像头检测项Checkl编号名称等级严重度CAM-FW-AUTH-001口令哈希审计CAM-FW-AUTH-002默认凭证字典CAM-FW-AUTH-003串口shell防护P0/P1CAM-FW-SCRT-001云端签名密钥硬编码CAM-FW-SCRT-002内嵌证书与私钥CAM-FW-SCRT-003第三方凭证硬编码CAM-FW-CONF-001调试服务常开CAM-FW-CONF-002启动服务最小化CAM-FW-INFO-001版本信息暴露CAM-FW-CONF-003二进制加固基线CAM-OTA-