海康威视摄像头被黑客拉进僵尸网络，海康这事早就不新鲜了。威视去年某工厂内部监控画面被传到境外论坛，摄像排查下来就是头漏固件里的老漏洞没补。别指望厂商主动通知你，洞修大部分设备卖出后，复方法厂家连你注册的海康邮箱都不一定记得。
漏洞主要集中在三处：默认口令、威视弱加密的摄像RTSP流、以及老版本固件里的头漏命令注入点。默认口令最蠢也最有效，洞修很多管理员装完设备就忘了改密码，复方法扫描器扫到admin/12345直接登进去，海康比开自家房门还简单。威视RTSP流的摄像问题在于部分设备允许未授权访问，只要知道IP和端口，用VLC播放器输个地址就能看画面。固件漏洞更隐蔽，比如某些型号的web组件对参数过滤不严，黑客发个特殊构造的HTTP请求就能拿到root权限。
修复的第一步，把设备从外网摘下来。别让摄像头直接暴露在公网IP上，用端口映射或VPN做中转。这动作能挡掉90%的扫描攻击——那些僵尸网络批量扫的是全网IP段，不会专门穿透你的防火墙。改完网络结构，再去设备后台改密码，至少12位，大小写字母加符号混着来，别用生日或公司名。顺手关掉不需要的远程访问协议，像Telnet、SNMP这些老协议，能关就关。
固件升级才是硬仗。登录海康官网的下载中心，输入设备型号，找最新的固件包。注意别下错版本，枪机和球机的固件不通用，升级前核对设备铭牌上的硬件版本号。升级过程要保证不断电，否则变砖了更麻烦。有个取巧的办法：用海康的SADP工具批量扫描局域网内设备，它能直接提示哪些设备有可用更新，比手动一个个查快得多。
改完这些还不够。定期检查设备日志，看看有没有异常登录记录。我见过一个案例，用户改了密码、升了级，结果黑客早就在固件里埋了后门，重置设备才彻底清干净。所以极端情况下，直接恢复出厂设置再重新配置，比在漏洞基础上打补丁更干净。
最后说句实在话——海康的设备漏洞修不完，今天补了明天可能又爆新的。真正靠谱的做法是隔离网络，让摄像头单独走一个VLAN，跟办公网物理隔开。哪怕摄像头被攻破，黑客也只能在监控网段里打转，碰不到你的核心数据。别迷信什么安全认证，设备装上那一刻就要默认它不安全，所有防护都得按这个前提来设计。