GTG广测集团网络安全实验室2026智能摄像头网络安全检测白皮书

目录录 2明 4章 “测 6端 6“”题 7全 8场 围 1.5.1 围 章 系 么 览 合坐标：CRA、FCCCyberTrust、CQC智摄头 法 章 纲 阵 级 则 注 AI辅审计作法 章 试 径 析 析 全 单 章 测 ） 移端APP（APP域） 云端API与存储（CLD域） 通协议（NET域） 单 章 析 案一：编码钥+签绕过→云储越删除 论 原 级 复 设 论 步 证 测 ：RTSP露 论 程 证 复 用 论 原 证 评 案五：件OTA链缺陷 论 程 证 测 开项 章 环 织 射 证 证 备 章 务 览 阵 附录A 摄头检项Checklist（39项查） 项 项 项 附录B 单 附录C 摄头相公开CVE速查 附录D CVSS3.1与书定对应 附录E 源 表 源 们 法律声明本白皮书由【本实验室】编写并拥有全部知识产权。未经书面许可，任何单位或个人不得以任何形式复制、转载、摘编或传播本白皮书的全部或部分内容。本白皮书中引用的全部实测案例均已做匿名化与脱敏处理：涉及的品牌名称、域名、密钥原文、设备标识与IP地址均以占位符或泛化表述替代。本白皮书内容仅用于技术交流与合规参考，不构成任何法律意见。检测依据的法规与标准条款以官方发布文本为准。如您发现本白皮书内容涉及您的合法权益，请通过封面所列联系方式与我们联系，我们将在核实后及时处理。章 测过去十年，联网摄像头从安防工程的专用设备变成了千家万户的标配：看家、看娃、看店、看仓库。公开市场统计普遍估计，全球消费级联网摄像头的年出货量已达数千万台量级，存量设备以亿计。与规模一同膨胀的是暴露面——在Shodan、ZoomEye等公开网络空间测绘平台上，任何人都能检索到数以万计直接暴露在公网上的摄像头服务端口；其中相当一部分，无需任何凭证即可访问。历史已经反复验证了这个风险。2016年，Mirai僵尸网络主要依靠摄像头与路由器的默认口令，组建了数十万规模的肉鸡大军，制造了导致半个美国互联网瘫痪的DDoS事件；2021年，某头部云摄像头厂商因内部凭证复用被攻破，15万路企业级摄像头的实时画面一夜暴露；近年的多起云端越权事件中，黑产通过合法注册的账号批量枚举并下载陌生用户的家庭录像。每一次事件的结尾都是同一句话：绝大多数被利用的缺陷，都是可以用常规检测手段提前发现的基础问题。更关键的是，摄像头是所有IOT品类中代价最特殊的一类：它内置镜头与麦克风，部署在卧室、客厅、仓库与店面，是唯一一台“看得见你家”的联网设备。路由器被攻破的后果是断网，摄像头被攻破的后果是隐私失守——攻击者看到的不是日志字段，而是你的生活。这使得摄像头的安全缺陷天然具有更强的社会敏感性与舆情放大效应：一次云端泄露事件，足以摧毁一个品牌多年建立的市场信任。理解了这一点，就不难理解为什么监管、下游客户与攻击者同时盯上了摄像头。图1-1给出了消费级摄像头的典型四层架构——本书后续的全部检测项，都将沿着这四层展开。图1-1消费级摄像头四层架构与攻击面全景“”三股力量正在同时把“检测”从选答题推向必答题，而且每一股都在过去十二个月里明显加码：CRA（Article14）（20269月——制造商得知产品存在被积极利用的严重漏洞后，24小时内必须提交早期预警，市场监督机构同步获得抽查与执法权；2027年12月附件I全面强制，罚则上限1500万欧2.5%PSTIFCCCyberTrustMark开始进“合规”正在从投标加分项变成市场准入的硬门槛（时间1-2）。——”的完IOT（20268月）351.4万图1-2欧盟CRA关键时间轴时间轴上有三个必须记住的节点——第一个已于本月生效：20269月（本月）起，CRA的漏洞上报义务（Article14）生效：制造商在得知产24小时内提交早期预警，市场监督机构同时获202712月起，CRAI的全部安全要求强制适用——从安全设计、漏洞处理到15002.5%。需求随之爆发——大量摄像头厂商第一次被要求提交网络安全检测报告。但需求爆发的同时，检测供给的质量分层也在发生：当一家机构可以只看文档就出具“符合”结论，而另一家机构要拆机提取固件、逆向协议、搭建仿真环境才能给出结论时，两种“检测报告”的价格可以相差十倍，而市场未必分得清它们的区别。监管在加码、客户在追问、攻击者在进门——当检测成为必答题，真正的问题只剩一个：答卷的质量，由谁来定义？——但这套流程有一个天然盲区：它的检测对象是纸，而不是设备。以下三个问题，在任何一份合格的资料审核中都不可能被回答——不是审核员不认真，而是答案根本不在纸上：/etc/shadow中，root这三个问题都来自本实验室近两年送测样品中的真实发现。它们的共同点是：没有任何一份客户文档会记载它们——没有厂商会在加密方案说明里写“我们的root密码是空的”。这类缺陷只存在于固件字节、二进制代码与网络交互之中，唯一能够触及它们的检测方式，是让设备真正进入实验室。对比维度资料审核式检测固件渗透式检测检测对象客户提交的文档、声明与自评表实体设备+固件+APP+云端服务固件分析不接触固件，依据文档描述多路径提取固件，解包并逐文件审计验证方式文档自证，逻辑核对POC实证：请求响应、抓包、二进制分析发现能力只能发现文档层面的缺失可发现全部八类技术缺陷（见第三章）可复现性无技术过程记录检测项编号+工具命令+证据链，可复核对抗视角无对抗性，假设开发者诚实模拟真实攻击者的完整利用路径成本与周期低，短（天级）高，长（周级），依赖实验室能力结论属性对“文档完整性”负责对“产品真实安全状态”负责表1-1两种检测模式的方法论对照需要强调：这并非某一家机构的责任心问题。资料审核之所以成为主流形态，是因为它便宜、快、无争议——而真实渗透测试需要拆机与固件分析能力、数天的实验室工时，以及为每一个漏洞证明（POC）担责的准备。当市场主要按价格选择检测服务时，出现什么样的主流形态，是可以预见的，但监管不会按价格出题。回到监管视角。CRA的上报义务不只由制造商自己触发，也由任何第三方触发：安全研究者、竞争对手的检测机构、甚至一位拆了你家摄像头的学生，都可以把漏洞直接报给市场监督机构。一旦监管介入，调查的路径必然是技术性的——拆机、提取固件、复现漏洞。此时，如果你的“合规”建立在一份资料审核式报告之上，监管者看到的证据链将与真实产品状态全面脱节：这不仅是行政处罚风险，更是把产品安全状态的定义权交到了别人手里。纸面合规最大的风险，不是它没发现问题，而是它给了你一个“已合规”的错觉，而你的产品正在以这个名义进入全球市场。本白皮书试图回答一个具体的问题：一份“真实”的摄像头网络安全检测应该长什么样？我们的立场可以概括为三句话：——APP真实渗透测试不是玄学，也不依赖某几位专家的“手感”。它可以被标准化为一套可分解、可执行、可判定、可复核的工程体系——本书的全部章节，都是在构建并演示这套体系。1.5.1 本白皮书聚焦消费级联网摄像头，包括家用IPC、智能门铃、婴儿监护器与中小型商用安防摄像机。车载摄像头、工业视觉设备虽同样受CRA管辖，但检测方法差异较大，不在本书展开。章 系第一章回答了“为什么必须真实地测”。本章定义两个更基础的问题：检测的“对象”到底是什么——它远比一台设备复杂；检测的“依据”到底是什么——法规、标准与检测方法之间，是一条必须打通的证据链。对制造商而言，产品是一台摄像头；对攻击者与检测机构而言，它是一串资产的集合：一块可以离线读取的Flash芯片、一组常被固件保留的串口与调试口、一套可以被完整解包的根文件系统、一个装着业务密钥的APP、一套由P2P信令与云API构成的在线服务。检测的第一步，就是把这串资产完整地列出来——因为每一项资产，都是一条检测证据链的起点。图2-1检测对象资产分解：硬件、固件、应用与云三组资产及其检测路径2-1资产历史高发缺陷对应检测手段Flash固件硬编码凭证、空root口令、调试服务自编程器离线读取+binwalk解包+文启件系统审计UART/JTAG串口直接获得rootshell串口监听与交互测试（访问等级见3.2）本地网络服务RTSP/Telnet未授权访问、UPnP暴露端口扫描+无凭证直连验证移动APP硬编码密钥、证书校验缺失、本地明文存储反编译+密钥提取+动态Hook云端APIIDOR、对象归属校验缺失、签名可伪造合法租户越权测试+签名重算OTA链路固件无验签、可降级、URL可枚举改包重放+降级刷机验证表2-1资产×高发缺陷×检测手段对照必须指出摄像头品类的一个行业性放大器：供应链高度白牌化。同一套主流P2P传输方案、同一套云平台组件，往往被数以百计的品牌同时采用。这意味着一个底层组件的缺陷（例如P2P模块的未授权访问、云存储接口的越权）不会停留在单一品牌——它会随着方案复制，同时出现在数十个品牌的货架上。对检测机构而言，这解释了为什么固件层与第三方组件审计是本书着墨最多的部分：那里藏着影响面最大的问题。图2-2四条信任边界与攻击者模型，以及检测机构跨越每条边界的方法边界攻击者模型前置条件危害量级对应检测域T1物理接触维修工、回收商、到手攻击者短时持有设备单台+同批固件固件提取与审计T2本地网络同网攻击者（被入侵IOT、访客网络）进入同一局域网家庭内网横向本地服务与协议T3云端身份任意互联网攻击者/恶意租户仅需一个免费账号全平台用户云API与云存储T4供应链组件投毒/缺陷随方案扩散无需直接接触数十个品牌组件指纹与SDK审计表2-2信任边界×攻击者能力矩阵这四条边界不是理论划分，而是直接决定检测项的设计：一个只测T3（云API）的检测会漏掉RTSP未授权取流，一个只测T1（固件）的报告无法回答“任意用户能否删除他人云录像”。真实渗透测试的含义，就是以合法方式逐条跨越这四条边界，并在每条边界上留下可复核的证据。为什么这些边界值得逐一跨越？图2-3的六个公开数字给出行业级答案：攻击者不需要昂贵的技术就能组建六位数规模的摄像头僵尸网络；企业网络里绝大多数IOT流量至今未加密；而监管已经把响应窗口压缩到24小时、把处罚上限拉到1500万欧元。图2-3六个公开数字：摄像头安全已从“加分项”变为“生存项”CRA、FCCCyberTrust、CQC检测的第二坐标系是合规依据。全球市场正在收敛为三条主线：欧盟以CRA为义务框架、以EN303645/EN18031为技术基线；美国以FCCCyberTrustMark为联邦标识、以加州SB-327等州法为底线；中国以CQC智能摄像头网络安全规则为专项合格评定路径。此外，日本JC-STAR、澳大利亚智能设备安全标准、英国PSTI等市场各有强制或分级要求。这里必须先澄清一个普遍的混淆：CRA是法规，规定的是制造商的义务（安全设计、漏洞处理、事件上报、技术文档），它本身不是检测标准，条款里找不到任何测试步骤——真正能被检测的，是三条主线背后共通的基线要求。图2-4给出了主要市场合规文件的定位全景。图2-4主要市场合规坐标系：法规定义务，标准定基线，检测给证据文件性质强制状态对检测的意义CRA(EU)2024/2847欧盟法规2026.9部分生效，2027.12全面强制定义义务框架与上报时限，不提供测试方法EN303645欧洲标准自愿采用，事实上的出口门槛检测项体系的直接来源（13组provisions）EN18031系列RED协调标准2025.8起无线设备强制CE标志强制前提，与EN303645部分重叠英国PSTI英国法规2024.4起强制条目少而明确，检测项可直接映射FCCCyberTrustMark美国认证自愿认证基于NISTIR8259，零售渠道逐渐要求加州SB-327美国州法2020起生效合理安全特性底线，默认口令先行CQC智能摄像头网络安全规则中国认证自愿性认证，采购与电商渠道逐步采用面向智能摄像头的专项要求，覆盖安全与隐私保护日本JC-STAR日本认证制度2025年起分阶段实施IoT安全符合性标识，按星级分级评估澳大利亚智能设备安全标准澳大利亚法规2025年起强制实施消费级智能设备强制要求，条目对齐EN303645表2-3主要合规文件对照这张表透露出一个对所有检测机构都致命的事实：上列文件几乎全部采用“结果导向（outcome-based）”EN303645“”“/etc/shadow”；CRA附件I写的是“产品应具备与之风险相称的安全能力”，而不是“请反编译APP”；CQC与JC-STAR同样只定义安全目标与分级，不规定测试步骤。结果导向意味着：一份只核对“客户声明”的资料审核，在方法上就无法回答这些条款是否被满足——它只能核对“客户声称满足”。唯一能给出符合性证据的方式，是对产品实施技术实证。这正是检测项体系把合规文本翻译成可执行的检测，需要三层固定翻译，外加一条回写通道（图2-5）：法规条款（“安全目标（口令）；图2-5法规条款到检测项的三层翻译与证据回写以EN303645provision5.4（不得使用通用默认密码）为例，表2-4展示了完整的映射结果。注意判定准则列：它必须是可判定的（“不存在”而非“尽量避免”），证据列必须是可复核的（文件提取记录、测试日志，而非文字结论）。检测项编号技术验证点判定准则证据要求CAM-FW-AUTH-001固件口令哈希审计/etc/shadow等凭证文件中不存在空口令、默认哈希或可逆口令凭证文件提取记录+哈希比对日志CAM-FW-AUTH-002默认凭证字典验证常见弱口令字典对全部登 录 （SSH/Telnet/Web/串口）均失败逐登录面测试记录CAM-APP-AUTH-001配网强制改密首次绑定流程强制修改默认口令，且强度校验有效配网流程抓包+绕过尝试记录CAM-DEV-AUTH-001恢复出厂凭证重置后设备不得恢复任何默认/空口令重置后复测记录表2-4EN303645provision5.4的检测项映射示例同样的映射方法适用于CRA附件I：其安全设计、漏洞处理、供应链安全等要求，可分别映射到固件审计（第四章）、本地服务（5.1）、APP（5.2）、云端（5.3）与OTA链路（4.4）等检测域。第三章将给出这套体系的完整定义——检测项编号规则、攻击者访问等级、判定准则分级与标准检测流程（SOP）。章 纲前两章回答了“为什么测”与“测什么”。本章给出本方法论的核心：把摄像头网络安全检测从依赖个人经验的服务，重构为一套可分解、可执行、可判定、可复核的工程体系。后续第四、五章的全部技术内容，都将挂接在本章定义的骨架上。真实渗透测试不等于“跑一遍扫描器”。对摄像头这样的多面体产品，有效的检测必须由四种互补的测试类型组成：静态分析发现线索（固件里的口令、APP里的密钥），逆向分析还原能力（签名算法、协议格式、加固强度），动态测试产生证实（POC、抓包、端到端利用），配置核查守住基线（）。图3-1——图3-1测试类型矩阵：四种测试类型×四个攻击面矩阵的使用方式：先按列规划攻击路径（一个云存储越权往往要跨APP、协议、云端三列），再按行选择方法。第六章的案例将反复展示一个规律：同一个缺陷通常需要两到三种类型的组合才能闭环——静态分析发现密钥线索，逆向还签名算法，动态测试完成越权证实。矩阵中有一条分水岭必须强调：只有动态测试这一行产生“证实”，其余三行产出的都只是“线索”。本方法论的硬性要求是：报告中的每一条Fail结论，必须有至少一条动态证据支撑。这也是真实渗透测试与纯扫描器交付的分水岭——扫描器只能给你线索清单，而线索不等于漏洞。同一个缺陷，在不同访问等级下的意义完全不同：串口直出的rootshell对居家用户风险有限，对回收与维修渠道却是灾难；而一个免费注册的云账号能删除他人录像，则直接威胁全平台用户。因此本方法论不问“漏洞存在吗”，先问“攻击者需要什么前提”。我们把攻击者能力划分为四级：图3-2攻击者访问等级L0-L3与对应典型发现等级前提条件典型攻击面CVSS对应危害量级L0无凭证远程仅网络可达，无任何凭证RTSP/Telnet/云公开接口AV:N/PR:N单台至全网L1合法租户一个免费注册的账号云API/P2P/APP业务流AV:N/PR:L全平台用户L2短时物理接触持有设备数小时串口/配网/恢复出厂AV:P单台+同批固件L3全权访问拆机+编程器+离线审计固件/密钥/OTA链路AV:P（离线）全供应链复制表3-1访问等级定义与CVSS3.1向量对应两条硬性规则由此派生：其一，报告中的每一条检测结论都必须标注其访问等级，并按等级分组呈现——采购方有权知道“攻击者需要什么”；其二，等级越低（越难获得）的发现，现实危害通常越大，L0/L1级别的发现应当直接触发P0/P1级定级讨论（见3.3）。体系化的关键载体是检测项编号。它解决三个问题：跨报告稳定（同一缺陷在两份报告、两次复测中必须是同一个编号）、复测可对照（整改后按原编号逐条闭环）、条款映射可审计（每个编号对应哪些法规条款一查便知）。编号规则与类别段见图3-3。图3-3检测项编号规则：CAM-域段-类别段-序号每个检测项由六个要素构成：编号、名称、访问等级前提、测试方法（对应3.1矩阵中的一格或多格）、判定准则、证据要求。其中判定准则必须写成可判定的形式——“不存在空口令与已知弱哈希”是准则，“加强口令管理”不是。判定结果取四态之一：判定含义报告呈现要求Pass验证结果满足判定准则至少附一条动态通过证据（如重置后默认口令登录失败的实测记录）Fail验证结果不满足判定准则附POC与完整证据链，标注访问等级与严重度Partial部分满足或存在条件性满足说明残余风险与缺口（如限速存在但阈值过宽）N/A该检测项对被测型号不适用说明理由（如无BLE模组则配网类检测项标N/A）表3-2判定准则四态与报告呈现要求复测口径同样刚性：Fail项的整改验证必须使用原始POC——修补了A路径但B路径仍可利用，就不是闭环。严重度采用本体系的四级定义（报告同时给出CVSS3.1向量以保证跨机构可比）：严重度定义典型示例P0严重可导致大规模隐私泄露、设备被完全接管或远程代码执行云存储越权删除、云签名密钥硬编码、未认证取流+设备接管P1高特定条件下越权，或敏感功能未授权访问固件OTA无验签、账号可枚举+无爆破限速、调试服务常开P2中信息泄露或需较高前提才能利用的缺陷固件版本信息泄露、本地明文日志、内网拓扑泄露P3低安全加固缺失，暂不直接导致泄露二进制未开RELRO、防拆检测缺失、日志策略过宽表3-3严重度四级定义（P0-P3）体系如何运转？七个阶段构成一个闭环（图3-4）：立项定范围、物料准备、资产测绘、10-15个工作日，其中静态审计图3-4标准检测流程（SOP）七阶段闭环与典型工期三个实践中最容易被低估的要点：其一，物料准备阶段决定检测上限——三台整机（一台拆解、一台接线、一台保留）、指定版本APP安装包、云端测试租户与授权函，缺一项就有一条检测域整体降级；其二，静态审计与动态验证不是先后关系而是迭代关系——静态发现的每条线索进入验证队列，验证中的新发现（如解出的密钥）又反哺静态审计扩大搜索面；其三，报告阶段的价值不在文字而在归档——每条Fail都把证据按检测项编号装订成包，客户整改与监管核查都按编号说话。工程化的意义在此显现：任何合格的安全工程师按SOP执行，都能复现大部分标准发现；专家经验不再消耗在重复劳动上，而是聚焦最难的20%——链式利用构造、私有协议逆向与新型攻击面探索。检测的可信度最终落在证据上。本方法论要求每条进入报告的证据具备四要素：时间戳、操作者、命令（或请求）原文、响应原文——缺任何一项，该条证据不进入报告。从原始输出到报告证据，经过四步流水线（图3-5）：图3-5证据链四步流水线：原始证据、脱敏处理、类型标注、归档关联脱敏与标注规则与本书法律声明保持一致，全部证据分三类标注，且同一检测项内的标注类型保持一致：证据类型标注附加要求被测样品工具输出（binwalk、nmap、等）实测（已脱敏）命令原文完整保留，脱敏仅针对敏感字段抓包与请求响应记录实测（已脱敏）保留时间戳、会话序列与完整报文结构开源固件/自建环境的复现输出复现环境演示明确声明环境构成，不与被测样品结论混排架构、流程与统计说明图示意图不与实测数据混排，不用于支撑Fail结论表3-4证据类型与标注规则对外交付脱敏版报告；全量底稿（脱敏映射表、原始输出）由检测机构留存，用于监管核查与整改复测时的原始对照。这一分工既保护客户与第三方隐私，也保证每条公开结论可回溯到未修改的原始证据。AI摄像头检测有一个结构性矛盾：固件解包后是数千个文件、反编译后是上万行伪代码、云端接口动辄上百个端点——人工全量覆盖不现实，人工抽检必有遗漏。这个矛盾正是AI辅助的用武之地：它改变的不是检测深度，而是检测的覆盖率——把“经验抽检”变成“全量初筛+人工确认”。本实验室的工作法将AI严格限定在三个区间的第一格（图3-6）：图3-6AI辅助审计：AI负责初筛、人工闸门判定、AI禁区担责四类已经工程化的AI任务：固件文件系统全量敏感模式扫描（密钥格式、口令字段、调试开关、硬编码地址）；反编译伪代码的疑点路径标注（越权调用链、加密误用、证书校验缺失）；法规条款与检测项的映射草稿（第三章2.4的三层翻译由AI生成初稿、人工校准）；报告文字规范化（把工程师的技术记录转写为符合报告体例的表述）。在本实验室的对比实践中，这一工作法使文件系统审计从抽检升级为全量，初筛阶段耗时压缩了一个量级（内部统计口径）。三条红线不可逾越：AI的输出只是线索清单，永远不直接成为证据或结论；所有POC一律由工程师人工执行与确认；所有检测项判定由人工依据实际运行结果作出并担责。这条底线不是对AI能力的怀疑，而是检测机构对报告签名负责任的必然要求——出具结论的人必须亲眼见过证据。至此，体系骨架完整：测试类型矩阵定义方法覆盖，访问等级定义危害语境，检测项编号与判定准则定义结论颗粒度，SOP定义运转节奏，证据链定义可信度底线，AI工作法定义效率倍增器。从下一章开始，我们沿着固件（FW/OTA域）与关联攻击面（DEV/NET/APP/CLD域）逐项展开技术细节。章 试固件是摄像头的大脑与记忆：口令、密钥、服务、更新逻辑，全部封装在几MB到几十MB的镜像里。第一章列举的三类高频问题——空口令、硬编码密钥、固件无验签——全部只能在固件层发现。可以说，是否具备固件层测试能力，是“报表检测”与“真实渗透检测”之间的第一条分水岭。本章按获取、静态分析、动态分析、更新链路四个环节展开，最后给出固件层检测项清单。固件渗透的第一道门槛不是分析，而是获取——固件拿不到，后面的一切都是纸上谈兵。大多数检测流程正是止步于此。本方法论归纳了五条获取路径（图4-1），覆盖从纯远程到全权拆解的所有访问等级：图4-1固件获取五路径：每条路径对应不同访问等级与工具链两条物理路径的实操要点：UART串口是性价比最高的入口——拆开外壳后在PCB上寻找三四个一组、丝印为TX/RX/GND（或3V3）的焊盘，用USB-TTL线连接，以115200等常见波特率逐个试探；若设备直出Linuxshell或U-Boot可中断（启动倒计时窗口内按任意键），即可在设备内部直接dd读取各mtdSPIFlash（W25Q系列）以SOP8夹具连接CH341A，flashrom直接读出完整镜像——这条路径绕过全部软件防护，是检验“物理攻击防线”的基准。三条数字路径的成本更低：OTA链路下载只需抓取一次升级请求，部分方案的固件URL无鉴权、可版本枚举（第六章案例五的完整复现）；公开渠道收集包括厂商支持页的升级包、配网SDK在本地的缓存目录；供应链渠道则关注方案商流通的SDK与公版固件——一个底层方案缺陷往往借此复制到数十个品牌。路径访问等级关键工具优势局限与风险UART串口读取L2USB-TTL·minicom快，顺带验证调试口部分设备焊盘有防护编程器离线读取L2/L3CH341A·flashrom最彻底，绕过软件防护需拆焊或夹具，有损风险OTA链路下载L0Burp·抓包脚本零接触，可批量依赖方案缺陷公开渠道收集L0检索·版本比对成本最低版本可能滞后供应链渠道方案层SDK指纹比对影响面评估最有效来源合法性需审查表4-1五条固件获取路径对照执行策略：五路径并行尝试、取最快抵达；无论走哪条路径，全程记录来源、工具与命令——这是固件层证据链的起点（见3.5）。拿到镜像后的第一步是递归解包：binwalk识别固件头与文件系统魔数，-Me参数自动提取SquashFS、JFFS2、cramfs等常见格式，还原出完整的根文件系统树。此后的工作就是对这棵树做四类全量审计（图4-2）。本节穿插的终端截图均为本实验室开源固件复现环境的。图4-2固件静态分析流水线：解包、审计、线索入队，熵分析作为支路图4-3binwalk固件结构识别：LZMA压缩内核+SquashFS根文件系统，两个分区的偏移与大小一次看清解包完成后，第一优先级是凭证面：直接检查/etc/shadow与远程管理服务配置——这是性价比最高的两分钟，也是报表检测永远做不到的那一步（图4-4）。查看etc/shadow的配置项，发现root密码项为空（空密码）dropbear配置允许root密码登录，攻击者只要能访问设备22端口SSH，直接以root账号不用输入密码登录设备，拿到完整系统权限。图4-4凭证审计使用7zip解压固件squashfs文件系统后的文件列表窗口。列出大量LuCIWeb后台前端JS文件，路径：www/luci-static/resources/，包含设备状态、WiFi、SSH、系统重启、密码配置等网页功能脚本。图4-5解包后的完整文件系统清单审计对象关注点典型发现/etc/shadow·/etc/passwd空口令、默认哈希、可逆口令root口令为空或与出厂值一致dropbear/sshd/telnetd配置root登录允许、口令认证开关、自启项rcS默认拉起telnetdlib目录与业务二进制硬编码密钥、签名盐值、内嵌URLso库内嵌AES密钥与云端签名盐web目录与CGI硬编码凭证、调试页面、注入点遗留调试接口无鉴权第三方组件版本指纹→公开CVE比对老旧busybox/openssl版本表4-2静态审计要点清单凭证之外的第二条主线，是对全量文件系统做敏感关键字扫描：以password、secret、token、dropbear、ssid等关键词逐文件检索并统计命中。图4-6是这条主线在复现环境中的实测产出——压缩镜像内审计表面为零，解包后1061个文件全部纳入扫描，每个关键词的命中文件数与首匹配位置一目了然，扫描结果自动挂接检测项编号形成线索清单。图4-6全量文件系统敏感关键字审计熵分析是容易被忽略的支路：对镜像做滑动窗口熵计算，高熵平坦段意味着压缩或加密区域——binwalk停止解包的地方并不等于固件的结束（图4-7）。熵曲线给出分区地图后，才能判断“还有多少东西没被看到”，避免漏检整个加密分区。图4-7熵分析定位高熵区域：压缩内核与加密数据分区静态审计的最后一项是二进制加固基线：对根文件系统中全部ELF可执行文件检测PIE、NX、StackCanary与RELRO四项加固的开启比例。它不直接产出漏洞，却决定了内存破坏类缺陷的可利用性——图4-8的复现实测中，197个二进制里PIE开启率仅37%、Canary仅14%，意味着任何一个栈溢出都大概率可直接利用。图4-8二进制加固基线统计：197个ELF的PIE/NX/Canary/RELRO开启比例再次强调第三章的分水岭规则：本节全部产出都只是“线索”，必须进入动态验证队列闭环后才能写入报告的Fail结论。静态线索要变成漏洞结论，必须让固件真正运行起来。本方法论使用三个互补的执行环境（图4-9）：真机环境真实性最高，负责出结论；用户态仿真效率最高，负责快速试错；全系统仿真可自动化批量，负责放大覆盖。图4-9三个互补执行环境：真实性、效率与可复制性的取舍真机环境的三个动作：其一，串口shell实测——连接UART验证是否直接获得未鉴权rootshell（对应CAM-FW-AUTH-003）；其二，启动日志审计——大量固件在启动时打印内网拓扑、云平台地址甚至凭证；其三，改包重刷——修改根文件系统后写回Flash，为4.4的OTA验签测试提供物理基础。$qemu-arm-static-Lsquashfs-root/squashfs-root/bin/busyboxuname-marmv7l$qemu-arm-static-Lsquashfs-root/\squashfs-root/usr/bin/cloudagent--dry-run2>&1|head-5[cfg]load/etc/cloud.confok仿真环境的价值在于提速与放大：用户态仿真以qemu-arm-static配合-L指定根文件系统，逐个运行可疑二进制观察行为；全系统仿真（$qemu-arm-static-Lsquashfs-root/squashfs-root/bin/busyboxuname-marmv7l$qemu-arm-static-Lsquashfs-root/\squashfs-root/usr/bin/cloudagent--dry-run2>&1|head-5[cfg]load/etc/cloud.confok[key]signkey[key]signkeyloaded与静态审计发现的密钥相互印证代码4-1用户态仿真运行目标二进制示例OTA是固件的供应链：从云端构建签名到设备刷写重启，五个环节中任何一处失守，攻击者就能把“自己的固件”变成“你的固件”。检测围绕五问展开（图4-10）：固件是否签名？签图4-10OTA链路五个环节与对应攻击点、检测方法$mksquashfsrootfs_patched/new.squashfs-noappend-compxz$ddif=new.squashfsof=flash_full.binbs=1seek=196608conv=notrunc$flashrom-pch341a_spi-wflash_full.bin#设备重启，串口启动日志（节选）：[ 0.912]SquashFS:mountedok 无任何验签环节核心方法是改包重放：从根文件系统中修改任意一个配置文件，用mksquashfs重新打包，替换镜像中对应分区后通过串口或升级通道写入设备——若设备正常启动且启动日志中没有任何验签失败记录，即判定未实施签名校验（CAM-OTA-UPDT-001$mksquashfsrootfs_patched/new.squashfs-noappend-compxz$ddif=new.squashfsof=flash_full.binbs=1seek=196608conv=notrunc$flashrom-pch341a_spi-wflash_full.bin#设备重启，串口启动日志（节选）：[ 0.912]SquashFS:mountedok 无任何验签环节判定：CAM-OTA-UPDT-001Fail（未签名校验，P0）修改已生效[ 1.408]cfgpatched:代码4-2改包重放测试示例环节检测方法Fail判定依据构建与签名改包重放+启动日志审计修改后的固件正常启动，无验签失败记录分发服务器URL规律分析+版本枚举可无鉴权遍历下载任意/全部版本设备请求下载通道抓包明文HTTP或无令牌即可获取完整固件本地校验CRC替换对照实验仅校验CRC/CRC32，无密码学校验刷写与版本策略降级刷写尝试旧版本可回滚且恢复已知漏洞行为

表4-3OTA链路检测要点与Fail判定本章全部技术内容收敛为固件层检测项清单（FW域与OTA域共16项）。每项的完整定义（方法细节、证据要求、复测口径）遵循第三章3.3的六要素结构，此处列出核心字段：编号名称等级判定准则要点严重度CAM-FW-AUTH-001口令哈希审计L3shadow等凭证文件无空口令、无默认哈希P1CAM-FW-AUTH-002默认凭证字典L2全部登录面对常见弱口令字典均拒绝P1CAM-FW-AUTH-003串口shell防护L2UART不得直接获得未鉴权rootshellP0/P1*CAM-FW-SCRT-001云端签名密钥硬编码L3固件中无可伪造云请求的密钥或盐值P0CAM-FW-SCRT-002内嵌证书与私钥L3无可提取的私钥或跨设备通用证书P1CAM-FW-SCRT-003第三方凭证硬编码L3无云服务AccessKey、推送SDKSecretP1CAM-FW-CONF-001调试服务常开L3telnetd/dropbear不随出厂固件自启P1CAM-FW-CONF-002启动服务最小化L3rcS启动面与产品声明功能一致P2CAM-FW-INFO-001版本信息暴露L0公网可达接口不泄露版本与编译信息P2CAM-FW-CONF-003二进制加固基线L3关键守护进程PIE/NX/RELRO全开P3CAM-OTA-UPDT-001固件签名校验L2改包重刷必须被启动链拒绝P0CAM-OTA-UPDT-002防降级机制L2拒绝回滚至带已知缺陷的旧版本P1CAM-OTA-UPDT-003下载通道鉴权L0固件URL不可无鉴权枚举下载P1CAM-OTA-UPDT-004分发服务器隔离L0版本目录不可遍历、不可枚举P1CAM-OTA-SCRT-001升级凭证硬编码L3升级组件无内嵌服务器凭证P1CAM-OTA-UPDT-005传输加密L0完整固件不得经明文HTTP下发P2表4-4固件层检测项清单（FW域+OTA域，16项）注：*串口shell的定级取决于可达性——若shell可直接读写业务数据或持久化后门，按P0处理；若仅为受限诊断shell，可降级评估。清单是活文档：随检测项库的更新而扩展，编号一经发布保持稳定，复测按原编号闭环。固件层（FW/OTA域）至此完成；下一章转向设备的关联攻击面——本地服务、移动APP、云端API与通信协议。章 测固件是根，但它并不孤立：摄像头以一组本地服务对内对外提供能力，以APP与云构成完整的业务闭环。攻击者从不按“层”进攻——他们从最薄弱的任何一面切入，再横向串联。本章按设备端服务（DEV）、移动APP（APP）、云端API与云存储（CLD）、通信协议5.5）设备端检测从一张端口地图开始：全端口扫描（TCP+UDP）、服务指纹识别，然后对每个监听服务回答同一组问题——是否需要认证？是否需要存在？是否限速？图5-1给出了消费级摄像头最常见的六类服务与高频缺陷。图5-1设备端开放服务攻击面：六类服务与对应检测动作其中最典型也最致命的是取流服务。某送测样品的RTSP服务（554端口）不要求任何认证：在同一网络（甚至公网直连）用VLC打开rtsp://IP即可观看实时画面——攻击成本为零，危害直指隐私核心。同类问题还出现在管理面：CMS服务的登录接口允许用户名枚举且没有任何限速，WebSocket服务接受无凭证握手并可下发控制指令。这些缺陷的技术含量都服务常见端口检测动作Fail示例（已脱敏）RTSP/ONVIF554/8899无凭证直连取流·设备信息枚举VLC直连即出实时画面（P0）HTTP管理面80/443默认口令字典·调试页目录扫描遗留调试页面无鉴权CMS/私有服务8000等用户枚举·爆破限速测试用户名可枚举且无限速WebSocket/动态无凭证握手·指令越权下发匿名连接可控制云台Telnet/SSH23/22后门账户字典·出厂凭证验证硬编码万能口令表5-1设备端常见服务与检测要点APP（APP域）APP是摄像头业务链上泄露最集中的资产：它内置云端通信的全部密钥与签名逻辑，却以最容易被拆开的形式分发。检测按五步流水线执行（图5-2）：获取与被测固件版本对齐的APK→静态反编译→敏感面标注→动态Hook验证→业务链还原。图5-2移动APP检测流水线与三类经典缺陷模式（第六章案例二）。其二，TrustAllManager：信任所有证书的调试代码残留发布在正式包中，中间人可截获全部HTTPS流量——静态标注定位后，用Frida动态确认中间人实际可行。其三，本地明文存储：登录态token与云存储凭证明文落盘，root提取即可冒充用户。$jadx-dout/camera-app.apk$jadx-dout/camera-app.apk$grep-rn"TrustAll\|X509TrustManager"out/--include=*.javaout/../NetConfig.java:publicvoidcheckClientTrusted $grep-rnE"(aes|secret|sign).{0,24}=\s*\""out/--include=*.javaout/../ApiUtils.java:privatestaticfinalStringAES_KEY="a****good";out/../ApiUtils.java:SIGN_SALT"s****2019"; //已脱敏代码5-1APP静态敏感面提取示例云端API（CLD域）云端是唯一“零物理接触”就能触达全体用户的攻击面，也因此是危害量级最大的一域。本方法论使用双租户模型执行越权测试（图5-3）：实验室注册两个合法租户A与B，B持自己完全合法的凭证与签名，尝试访问A的设备与录像——所有请求在协议层面都是“合法”的，唯一的问题是云端是否验证了对象归属。图5-3双租户越权测试模型与正反实测对照实测中两份对照极具说服力。反面：某样品的云录像删除接口，租户B用自己的签名携A#对照：正确实现应返回403对象不属于当前用户，且不泄露存在性<-删除成功（Fail：归属未校验）HTTP/1.1200OKPOST/api/v1/record/deleteAuthorization:Bearer#对照：正确实现应返回403对象不属于当前用户，且不泄露存在性<-删除成功（Fail：归属未校验）HTTP/1.1200OKPOST/api/v1/record/deleteAuthorization:Bearer租户B自己的合法登录态Sign:用APP内置密钥合法计算{"record_id":租户A的录像ID（可枚举）代码5-2云存储越权请求对比示例除越权主线外，本域还覆盖：错误响应信息泄露（某样品的签名校验失败响应会回显正确签名的部分字节，直接把“校验”变成“提示”）、注册与找回接口的账号枚举、以及对象存储（S3类）访问控制——云存储凭证一旦从APP或固件中提取且未做目录级隔离，攻击者即可直接遍历读取任意用户文件。（NET域）协议域检测的对象是“流动中的数据”。图5-4标出了四条链路与四个抓包点：配网（①）、信令（②）、取流（③）、指令与对讲（④）。每条链路的检测问题同构：认证是否强制？加密是否有效？重放是否可行？图5-4四条通信链路与对应抓包检测点配网是隐私泄露的隐蔽入口：广播/softAP类配网若明文携带SSID与口令，攻击者在配网窗口期内即可截获家庭Wi-Fi凭据；二维码配网则需评估凭据编码是否可被旁路获取。取流链路重点验证“加密有效性”而非“有无加密”：某样品的私有流协议使用固定密钥异或“加密”——密钥就在固件里，抓包还原即为明文（呼应4.2的密钥提取）。指令链路执行重放测试：录制一条“关闭移动侦测”或“开门”类控制指令原样重发，若设备执行即Fail——家庭物理安全的最后防线不允许任何重放例外。P2P链路需要单独说明：大量白牌方案使用第三方P2P组件打通公网访问，检测必须回答三个问题——P2P会话是否与账号绑定、中转服务器能否独立建立会话、组件是否有公开P2P2.1。四个域的检测项清单如下（DEV6项、NET5项、APP6项、CLD6项，共23项），与第四章固件层16项合并构成完整检测项库的主体：编号名称等级判定准则要点严重度CAM-DEV-AUTH-001取流服务认证L0RTSP/ONVIF/私有流必须强制认证P0CAM-DEV-AUTH-002后门账户排查L2不存在硬编码账户与万能口令P0CAM-DEV-CONF-001暴露面最小化L0非声明功能端口不对公网开放P1CAM-DEV-CONF-002服务会话鉴权L0CMS/WebSocket等禁止匿名连接与指令下发P1CAM-DEV-CONF-003登录限速锁定L0全部登录面具备限速与锁定策略P1CAM-DEV-INFO-001服务指纹最小化L0Banner与响应不泄露版本/型号/拓扑P2CAM-NET-SCRT-001传输加密有效性L1视频流与控制指令不可被还原为明文P1CAM-NET-SCRT-002密钥管理L1无固定密钥、无跨设备密钥重用P1CAM-NET-AUTH-001指令防重放L1控制指令绑定会话，重放必须失效P1CAM-NET-PRVC-001配网隐私L2配网过程不明文传输家庭Wi-Fi凭据P1CAM-NET-CONF-001P2P会话绑定L1P2P会话与账号绑定，中转不可独立建会话P1CAM-APP-SCRT-001硬编码密钥L0APK中无可提取的业务密钥与签名盐P0CAM-APP-SCRT-002加密实现有效性L1自实现加密与密钥强绑定，密文可被伪造即FailP1CAM-APP-CONF-001证书校验L1无TrustAll残留，中间人截获必须失败P1CAM-APP-INFO-001本地敏感存储L1token与凭证不明文落盘P1CAM-APP-CONF-002组件导出面L1导出组件最小化，敏感组件不对外暴露P2CAM-APP-PRVC-001日志与缓存L1日志/缓存不含凭据与敏感数据P2CAM-CLD-ACCS-001对象归属校验L1任意租户不可跨对象读写删（端到端验证）P0CAM-CLD-ACCS-002参数可枚举性L1设备/录像ID不可顺序遍历P1CAM-CLD-CONF-001接口限速L1注册/登录/校验接口具备限速与锁定P1CAM-CLD-INFO-001错误响应脱敏L1错误信息不泄露签名、内部状态与存在性P2CAM-CLD-SCRT-001密钥治理L1云端安全不依赖客户端保密的密钥P0CAM-CLD-PRVC-001云存储访问控制L1对象存储按目录隔离，禁止公开读写P0表5-2关联攻击面检测项清单（DEV+NET+APP+CLD域，23项）16项2339项，全部遵循第三章的编——从单点章 析本章用六个案例演示前五章的体系如何实战运行。每一个都完整走完“检测项编号→证据链→定级→条款映射→复测口径”的闭环，它们还有一个共同点：没有一个依赖0day——这正是最值得行业警醒的地方。图6-1给出六个案例与六个检测域的映射总览。图6-1六案例×六检测域映射总览结论攻击者从一块Flash芯片出发，可以删除平台上任意用户的云录像——全程零0day、零暴力破解，所有请求在协议层面均为“合法请求”。攻击路径还原

图6-2案例一攻击链五步还原步骤一（）：对拆解机以CH341A编程器夹具读取SPIFlash8MB完整镜像；binwalkLZMASquashFS根文件系统，递归解包得到完整目录树——过程与图4-3的复现演示完全同型。凭证审计确认rootdropbear允许root4-4），步骤二（密钥提取）：反编译配套APP，在云端通信工具类中定位请求签名算法：请求参数按字典序排序拼接后，与一个硬编码的32字节密钥做HMAC运算，盐值同样硬编码在代码中。用FridaHook运行时函数确认实际使用的密钥与静态提取值一致——静态与动态相互印证，排除编译期变形的可能（对应CAM-FW-SCRT-001/CAM-APP-SCRT-001）。步骤三（签名伪造与越权删除实测）：按APP的算法，以攻击者自己的合法登录态为受害设备重算签名，向删除接口发起请求。这一步在复现环境中完整重演（图6-3）：请求携带的是攻击者自己的token，删除的却是他人设备的录像，服务端返回200——它只校验“签名是否由该密钥生成”，不校验“密钥属于谁、设备属于谁”。两个200ID”就图6-3签名伪造与越权删除实测：自有token+他人device_id，删除返回200；换随机device_id仍为200步骤四（对象枚举）：完整攻击链要求三个关键参数全部可得，实测确认全部成立——设备ID可经一个无鉴权的设备状态接口逐个枚举，无需任何凭证即可确认任意设备是否存在（对应CAM-CLD-ACCS-002）；录像ID为全局递增整数，实测区间8272~10562、间隔仅5~28，可直接遍历；录像文件名为纯时间戳格式（YYYYMMDDHHMMSS.mp4），完全可猜测。三个参数一个比一个容易，批量删除不存在技术障碍。步骤五端到端复证）：以双租户模型收口——租户BA的设备与录像ID请求删除，三步之内删除成功；对自有设备、他人设备与随机设备ID分别验证，全部返回成功；再以多台不同批次的真实设备重复验证，结果一致。值得记录的是同一样品存在两条到达同一终点的路径：路径A为“反编译APP提取密钥直接签名”（三步，需一次逆向）；路径B为“故意发送错误签名，服务器在错误响应中回显正确签名，再以泄露签名重发”（五步，纯HTTP请求、无需任何逆向）——后者意味着连反编译这一步都不需要，云端用自己的错误提示替攻击者完成了签名计算。删除操作在受害者的客户端同步生效，危害具备不可逆性。路径B（签名泄露，无需逆向）单独复演（图6-4）：故意发送全零签名，服务器在错误响应里回显了正确签名；用它重发同一请求，删除同样成功。这条路径连反编译都不需要，—服务器用自己的报错信息替攻击者完成了签名计算（对应CAM-CLD-INFO-001，错误响应泄露内部值）。攻击门槛从“会逆向APK”拉低到“会发HTTP请求”。图6-4签名泄露路径实测：错误签名的报错信息中直接返回ServerSign，重发即删除成功同一厂商的新旧服务器对照，是本案例最有教学价值的一幕：旧版云存储服务器为上述全部缺陷的重灾区（密钥硬编码、归属不校验、签名泄露、HTTP明文），而新版服务器做了归属校验——非授权设备请求列表返回空、删除接口校验录像与设备的绑定关系。新旧并存且客户端仍保留旧入口，意味着厂商已经知道怎么修、也已在新系统上修对了，但旧系统没有下线，防线形同“新修的大门旁边留着敞开的老门”。这也是本方法论的定级原则之一：修复以“全入口闭环”为准，新系统合格不抵消旧系统Fail。顺带一提，该样品的核心API域（权限隔离、注入防护、枚举防护）全部通过——最终综合评级仍为“较差”。结果导向的合规要求的是“无短板”，这正是2.3节判断的又一注脚。证据链与定级检测项证据类型标注定级CAM-FW-SCRT-001密钥硬编码固件解包记录+APP反编译片段实测（已脱敏）P0CAM-CLD-ACCS-001归越权请求响应+多设备操作录像实测（已脱P0属校验缺失敏）CAM-CLD-ACCS-002参数可枚举枚举脚本与命中统计实测（已脱敏）P1表6-1案例一证据链定级论证：以CVSS3.1度量核心结论（越权删除），向量为AV:N/PR:L/UI:N/S:C/C:H/I:H/A:H，基础分9.1（Critical）P0的三条理由：其一，影响P0条款映射与修复条款映射：EN303645provision6.1（不得使用硬编码凭证）、provision5.5（漏洞管理，缺陷长期未被发现说明缺少安全测试环节）、CRA附件I安全设计要求。修复建议：云端安全模型必须假设客户端密钥必然泄露（CAM-CLD-SCRT-001）——签名改绑定会话、服务端强制对象归属校验、对象ID换用不可枚举随机标识；客户端侧清理硬编码密钥。复测口径：使用原始POC重跑，删除他人录像必须返回403，枚举探测不得命中。API结论加密请求与明文请求的响应完全一致——加密机制具备完整的“表演形式”，不具备任何安全实质：攻击者持包内密钥可解密、伪造全部请求。验证过程四步——4-6的同型审计）。第二步，动态确认：FridaHook加密函数，喂入已——POST加密请求（正常客户端）X-Enc:v1Body:<base64...>POST同业务明文重放（攻击者）{"page":1}两请求响应完全一致=>“加密”仅存在于传输形式，服务端不校验（已脱敏）务请求，观察服务端是否区别对待（实测复演见图6-5POST加密请求（正常客户端）X-Enc:v1Body:<base64...>POST同业务明文重放（攻击者）{"page":1}两请求响应完全一致=>“加密”仅存在于传输形式，服务端不校验（已脱敏）代码6-1加密请求与明文请求对照“”APP。图6-5对照实验实测：加密请求与明文请求返回完全相同的响应密钥泄露的规模效应同样触目惊心。密钥扫描工具对同一APK的全量审计显示：除业务签名密钥外，还硬编码了云厂商访问密钥（AWSAccessKey）、构建仓库（Artifactory）密码、第三方平台密钥，以及横跨多条业务线的16组以上APISecret——RELEASE与TEST两套环境的值，等于生产与测试凭据一并打包发放给了所有攻击者。更直AES-CBCAPPIV同样硬编码——解密后得到完整的线上基础设施清单：API域名、消息服务器、四组备用域名与多组MQTT接入点。攻击者拿到这一份配置，等于拿到了下一步攻击的完整地图（对应CAM-APP-SCRT-001/CAM-FW-SCRT-003）。反编译APK→拿到AESKey/IV→解密配置拿到MQTT/API域名，拿到API地址→测试接口：加密绕过、签名伪造、签名泄露、IDOR越权拿到MQTT地址→尝试连接物联网消息总线，监听摄像头上报、下发控制指令。图6-6配置解密实测：以APP内提取的AES-CBC密钥与IV解密服务器配置，输出完整基础设施清单服务端的行为进一步放大了问题：对11个业务端点的未授权探测中，全部返回200与业务级错误码，而非401/403——端点的存在性、版本状态乃至密码重置接口的位置，都免费提供给探测者（对应CAM-CLD-INFO-001/CAM-CLD-CONF-001）。同一样品还检出了SQL语句拼接、8个开发内网IP、仍在线的测试环境域名与暴露后端框架类型的详细错误响应——单台样品的APP，撑起了第五章APP域大半张检测项清单的Fail案例。定级论证本案例是“同一现象、两级定级”的教学样本：CAM-APP-SCRT-002（自实现加密无效）定为TLS（）定为P0——有改加密算法”不解决问题、必须改架构。修复与复测修复方向：放弃自实现加密，改用标准TLS+证书校验；若需应用层加密，密钥必须每会话协商且服务端强制校验；TrustAll代码进入发布门禁扫描。复测口径：明文请求必须被拒Hook结论同一网络内（部分场景下公网直连）无需任何凭证即可观看实时画面——隐私泄露的代价与攻击成本完全不对等。验证过程使用nmap对端口存活进行探测，发现rtmp、hls、webrtc端口同时开放，暴露面远超功能所需；扫描1.27秒完成，说明不存在任何探测防护。图6-7端口测绘：rtsp/http/rtmp/hls/webrtc等多协议服务全部暴露在动态渗透测试环节，针对RTSP流媒体服务进行访问控制验证。测试使用ffprobe工具直接请求视频流地址，设备未触发身份认证流程，可直接获取H.264编码的720P实时视RTSP6-8未认证直连取流：ffprobe抓包还原了会话全程——OPTIONS、DESCRIBE、SETUP、PLAY依次完成，设备自始至终没有发出过任何认证质询。图6-9RTSP会话抓包：OPTIONS→DESCRIBE→SETUP全程无认证质询，取流直接成立Nmap发现8080端口Web服务开放→WhatWeb做Web指纹识别，识别Web服务器版本，搜集已知漏洞信息，为Web后台渗透做准备。图6-10Web指纹识别：whatweb直接提取服务型号与版本（对应CAM-DEV-INFO-001）使用Hydra对摄像头Web管理后台进行弱口令爆破测试,使用密码字典对8080端口Web管理页面进行暴力破解，成功获取管理员账号密码，证实Web后台存在弱口令高危漏洞。图6-11管理入口弱口令字典测试配套的APP内容管理系统（CMS）存在三项连带发现——REST用户接口对公网开放，可枚举出34个内部员工账号；登录入口无验证码且无速率限制，与账号枚举组合后可直接转入定向爆破；媒体库885张素材可匿名批量下载。这三项都不在摄像头本体上，却同属客户资产、同批送检——本方法论将其归入云端域的信息泄露与限速检测项（CAM-CLD-INFO-001/CAM-CLD-CONF-001），并在报告中以“连带发现”单独成节：安全检测的范围必须以资产边界划定，而不是以产品形态划定。横向对比：在公开网络空间测绘平台检索同类方案的默认端口指纹，可发现大量同方案设备暴露在公网——单台缺陷因供应链复制成为规模性暴露（呼应2.1）。定级论证定级：CAM-DEV-AUTH-001（取流无认证，P0）+CAM-DEV-CONF-003（无限速，P1）+CAM-DEV-CONF-001（暴露面过宽，P1）。核心项的CVSS向量为AV:N/PR:N/UI:N/S:C/C:H/I:L/A:L，基础分9.3（Critical）——无需凭证、无需交互、可远程批量利用，且泄露内容是摄像头品类中最敏感的实时画面。P0定级不存在争议：攻击者看到的不是数据字段，而是用户的卧室与店面。条款映射与修复条款映射：EN303645provision5.4、6.1；EN18031对RED设备的访问控制要求。修复方向：取流服务默认强制摘要认证并随机生成设备凭据；关闭非必要服务；UPnP自动端口映射默认关闭；登录限速与锁定。复测口径：无凭证取流必须失败；对管理面的枚举与爆破在阈值内被阻断。结论单看每一项都是P1/P2，组合起来却是完整攻击链——本案例演示“链式思维”如何放大危害：TrustAll证书校验缺失（截获流量）→本地明文token（提取登录态）→硬编码签名密钥（伪造请求）。三缺陷并存时，攻击者可任选最低成本的路径冒充任意用户。链路还原路径一（网络侧）TrustAll缺陷截获登录响应，取得合法token——全程无需接触用户手机。路径二（终端侧）：对root设备提取APP本地存储，直接读出明文token与缓存录像——攻击者只要拿到一部装过该APP的手机即可。两条链路之外，反编译还带回了一批“攻击面地图”级的泄露：8个开发内网IP与端口、多个仍在线的测试环境域名（广告、支付、Dubbo测试接口可达）、暴露后端框架与内部类名的详细错误响应、以及Base64编码“伪装”的密钥串（编码不是加密，解码只需一步）。这些发现单项都不高危，但它们把厂商的基础设施拓扑、环境划分与代码习惯完整地摆在了攻击者面前——后续任何定向攻击的侦察成本因此趋近于零（对应CAM-APP-INFO-001/CAM-CLD-INFO-001，Fail，P2）。缺陷组合可达危害攻击前提TrustAll（单独）同网截获全部HTTPS流量L2同网位置明文token（单独）拿到手机即冒充用户L2物理接触手机TrustAll+硬编码密钥截获+伪造，完全接管会话L2同网位置三者并存（本案例）任选最低成本路径冒充任意用户L1/L2，成本最低路径生效定级论证

表6-2缺陷组合与可达危害矩阵单缺陷定级：CAM-APP-CONF-001（P1）、CAM-APP-INFO-001（P1）、CAM-APP-SCRT-001（P0）。链式结论的处理原则：组合利用的可达危害高于任一单缺陷时，报告在缺陷条目之外单独呈现“攻击链条目”，其定级按组合危害上调——本例链级结论定为P0。这避免了两个常见错误：把P1堆叠误报成P0（未验证组合），或把链式P0拆散成一堆P1（低估危害）。方法论点评这正是第三章测试类型矩阵的价值：三个缺陷分属配置、信息、密钥三类静态发现，只有把它们放进业务链里动态串联，才能看到真实的综合风险。报告按“缺陷条目+攻击链”双层呈现——采购方据此理解的不只是“有几个洞”，而是“攻防对抗中谁先失守”。OTA结论OTA全链路无鉴权、无签名校验——攻击者可以下载任意版本固件，也可以让设备运行“自己编译的固件”。OTA是设备最后的信任边界，此案例中该边界不存在。验证过程

图6-12案例五：无鉴权OTA链路时序还原触发设备升级并抓包，固件URL不含任何令牌，路径规律明显（/fw/型号/版本.bin），遍历版本号即可下载任意历史固件——L0无凭证即可完成（4.1路径三的实测印证）。第二步，改包重放：对下载固件实施4.4的完整流程——修改根文件系统中的一个配置、mksquashfs重打包、写回镜像对应偏移。计算原版OpenWrt固件SHA256哈希，作为基准指纹。图6-13固件完整性基线：对原始镜像计算SHA256哈希只修改固件1个字节，重新算哈希，把固件哈希做签名，设备升级前校验签名，一旦固件被篡改，哈希变化，签名校验失败，拒绝升级。

图6-14篡改敏感性验证：单字节改动后SHA256完全变化（雪崩效应）定级：CAM-OTA-UPDT-001（无签名校验，P0）+CAM-OTA-UPDT-003（通道无鉴权，P1）+CAM-OTA-UPDT-004（版本可枚举，P1）+CAM-OTA-UPDT-002（无防降级，P1）。核心项P0的理由有三：固件级控制是持久化的——用户无法察觉也无法自行清除；一次利用批量生效——同一固件分发的全部设备同时沦为攻击者资产；恢复模式同样信任固件——连“重置”这条用户自救路径都被堵死。三条理由中任何一条都足以支撑P0。条款映射与复测条款映射：CRA附件I（安全更新机制）、EN303645provision5.3（更新真实性）。复测口径：改包重刷必须被启动链拒绝；URL无令牌请求必须403；旧版本刷入必须被版本策略阻止。CVE从公开CVE出发，验证同样的缺陷在“你的产品”上是否存在。复盘对象选取近三年嵌入式摄像头生态最具代表性的公开漏洞，它们全部在披露后一年内被僵尸网络与勒索团伙纳入武器库：大华ONVIF（CVE-2025-31700，CVSS8.1，20257）：IPC/SD80ONVIF5.1大华RPC（CVE-2025-31701，20257）：RPCHikcentral授权绕过（CVE-2024-25063，20243月披露）：视频管理平台的授权控制缺陷使攻击者绕过鉴权访问受限URL——监控平台侧的越权，与本书云端域时效性佐证就在本书成稿前夜：2026年8月，安全厂商披露代号CameraSwarm的攻击活动——攻击者以凭据填充与弱口令在35天内批量接管了1.4万余台大华摄像头。这不是历复盘方法：组件指纹识别（对照4.2的第三方组件审计）→版本比对→靶场复现验证利→对被测样品实测。表6-3给出CVE与检测项的映射——每一份公开CVE都应沉淀公开漏洞受影响组件类型对应检测项批量排查方法CVE-2025-31700大华IPC/SD系列ONVIF栈溢出CAM-FW-CONF-002组件版本指纹+靶场验证CVE-2025-31701大华RPC上传组件溢出/RCECAM-FW-CONF-002组件版本指纹+靶场验证CVE-2024-25063海康Hikcentral授权绕过CAM-CLD-ACCS-001受限URL直连测试表6-3近三年公开CVE与检测项映射示例章 环报告是检测服务的唯一交付物，它的结构必须同时服务三类读者：管理层要在两分钟内理解风险量级，工程师要能按编号直接整改，合规团队要能把结论直接搬进法规应答材料。图7-1给出本方法论的六模块报告结构。图7-1报告六模块结构与双层呈现原则两个关键设计：其一，双层呈现——缺陷条目回答“有什么问题”，攻击链回答“组合起来意味着什么”；其二，报告自检四问：每条Fail是否有动态证据？每条结论是否有编号？每个编号是否完成条款映射？每个P0是否写明复测口径？四问任一不过，报告不出稿。定级采用双轨制：对内用本书P0-P3四级驱动整改优先级，对外同时给出CVSS3.1向量保证跨机构可比（对应关系见附录D）。条款映射则是把检测项库与法规文本“焊死”的过程——表7-1给出六个检测域与四大合规文件的代表性映射，完整映射随检测项库维护。检测域EN303645（代表条款）CRA附件IEN18031英国PSTIFW固件6.1避免硬编码凭证；5.1禁用通用默认口令；5.4安全存储敏感参数(2)安全设计与默认配置18031-1认证与安全存储默认密码禁令OTA更新5.3保持软件更新(2)(c)更新机制与签名18031-1安全更新更新支持期声明DEV设备服务5.6最小化暴露攻击面；5.11输入校验(2)攻击面控制18031-1访问控制—（仅消费设备条款）NET协议5.5安全通信(2)通信保密与完整性18031-1保密性—APP移动端5.4敏感参数存储；6.1硬编码凭证(2)最小权限与凭据管理18031-2隐私保护—CLD