kali搜索附近摄像头

把一台装了Kali Linux的搜索摄像笔记本连上咖啡厅的Wi-Fi，打开终端敲几行命令，附近屏幕上就可能跳出几十个摄像头的搜索摄像IP地址。这不是附近电影桥段。去年我在一个创业园区做安全巡检，搜索摄像用Kali里的附近nmap扫了整个C段，结果发现十七个网络摄像头，搜索摄像其中六个还在用出厂默认密码admin/admin。附近园区物业的搜索摄像人当场愣住。

摄像头暴露在公网或局域网里，附近本质上是搜索摄像它们开放了服务端口。大部分网络摄像头走RTSP协议，附近默认端口554。搜索摄像有些用HTTP管理界面，附近跑在80或8080上。搜索摄像海康威视的设备常用8000端口做SDK通信，大华则偏爱37777。知道这些，扫描就有了方向。

Kali里最顺手的工具是nmap。一条命令：nmap -p 554,80,8000,8080,37777 192.168.1.0/24，几十秒就能把整个子网过一遍。开放554端口的设备，八成是摄像头。想再确认一下，用nmap -sV -p 554 192.168.1.x探服务版本，RTSP的字样一出来，基本没跑。

但nmap只告诉你端口开着，不告诉你画面长什么样。这时候需要ONVIF协议的工具。Kali源里有个onvif-cli，或者用Python的onvif-zeep库。发一个WS-Discovery组播包到239.255.255.250:3702，支持ONVIF的摄像头会自动回复自己的IP、型号、甚至固件版本。我试过一次，同一栋楼里三台不同品牌的摄像头同时响应，像约好了似的。

拿到IP之后，下一步是取流。RTSP地址有固定格式：rtsp://用户名:密码@IP:554/路径。海康的路径通常是/Streaming/Channels/101，大华是/cam/realmonitor?channel=1&subtype=0。用VLC或者ffmpeg就能拉流。ffmpeg命令：ffmpeg -i rtsp://admin:admin@192.168.1.100:554/Streaming/Channels/101 -vframes 1 test.jpg，一帧画面就存下来了。如果密码不对，ffmpeg会报401 Unauthorized，那就得试试默认密码表。

Kali自带hydra，可以跑RTSP的暴力破解。但说实话，多数场景下没必要。我见过的家用摄像头，七成以上还在用admin/admin、admin/12345、root/root这类组合。去年帮朋友看他的小米摄像头，发现固件里硬编码了一个调试账户，密码是设备序列号后六位。这种设计思路，安全圈里叫“隐蔽式安全”，跟把钥匙藏在门垫下面差不多。

扫描附近摄像头这件事，法律边界很清晰。未授权访问他人设备，在中国《网络安全法》和《刑法》第285条里都有对应条款。我自己的规矩是：只扫自己拥有的网络，或者拿到书面授权的客户网络。在公共Wi-Fi上扫陌生网段，哪怕只是看看，也可能踩线。技术本身不违法，用技术的人得知道红线在哪。

还有个容易忽略的点：很多摄像头不止一个开放端口。除了554，可能还开着23端口的telnet，或者22端口的SSH。telnet尤其危险，流量明文传输，密码等于裸奔。我见过一台老款摄像头，telnet进去直接是root shell，连密码都不问。这种设备放在网上，跟敞开大门没区别。

如果你只是想检查自家摄像头有没有暴露，更简单的办法是查路由器DHCP客户端列表，看有没有陌生设备。或者用手机装个Fing，扫一遍局域网。Kali适合做深度测试，日常排查用不着这么重的工具。工具越锋利，越要知道什么时候不该用。

最后说个真事。上个月我在一个共享办公空间，用Kali扫到一台摄像头，IP是192.168.1.143。默认密码进去后，画面正对着前台。我拍了张屏幕照片，把RTSP地址和密码一起发给了空间管理员。他十分钟后回复：“已经改了密码，谢谢。” 这才是这类技术该有的用法——找到问题，然后修好它。