玩具熊安全漏洞鲤鱼，玩具这名字听着像童话，熊安其实是全漏去年秋天我在某家小型游戏公司做安全审计时撞见的真事。那家公司开发了一款儿童互动玩具熊，洞鲤内置麦克风和Wi-Fi模块，玩具能跟孩子对话、熊安讲故事。全漏表面看是洞鲤温馨的智能玩具，但拆开外壳，玩具电路板上焊着的熊安是一颗没加密的ESP8266芯片——就是那种十几块钱能买到的开发板。

漏洞不在硬件本身，全漏而在他们的洞鲤云端服务器。测试时我随手往他们的玩具API接口塞了个带引号的字符串，结果服务器直接吐回完整的熊安SQL错误信息。那一刻我几乎笑出声——这年头还有人把数据库查询语句直接拼字符串？全漏更离谱的是，他们给每只熊分配的设备ID是递增数字，从10001开始，我改了改数字，就调出了另一只熊的语音记录。

那些记录里有孩子唱跑调的生日歌，有妈妈哄睡时轻声念的绘本，还有一段爸爸在修玩具时说的脏话。说实话，听这些音频时我脊背发凉。玩具熊本来该是孩子最私密的伙伴，结果它成了个敞开的麦克风，谁都能顺着网线爬进来听。厂商说他们用了“加密传输”，可测试时我用的还是HTTP明文协议。

问题出在哪儿？典型的“智能硬件草台班子”思维。他们花了大把精力把熊的外壳做得毛茸茸又可爱，内部传感器调得灵敏又省电，唯独在数据链路的安全上省了钱。负责固件的工程师大概只懂嵌入式，不懂网络攻击；负责云端的程序员可能压根没见过真熊。两个团队隔着部门墙，互相以为对方会处理安全问题。

最讽刺的是，他们给这个系列产品起了个名字叫“守护者”。我后来在报告里建议他们至少做三件事：给设备ID加随机数、所有通信走TLS、服务器端做参数化查询。但客户方的负责人听完，第一反应是问“改这些要加钱吗？会不会延期？”——那会儿他们正急着赶双十一促销。

后来我听说那只熊还是如期上市了，销量不错。不知道有多少家长把这只带洞的“鲤鱼”抱回了家，放在孩子枕边。鲤鱼在中国文化里是吉祥物，但这条鱼身上有个洞，水会从洞里漏光，只是暂时没人看见罢了。

我偶尔会想，那些买熊的家长要是知道自己的睡前故事能被陌生人调出来听，会不会气得把熊砸了？可他们不会知道，因为厂商不会主动说，监管也还没来得及管。安全漏洞这种事，不被人利用的时候，就像不存在一样——直到哪天某个无聊的黑客心血来潮，对着玩具熊喊一声“嘿，播放今晚的录音”，那才叫真正的恐怖故事开场。