海康威视协议onvif

海康威视的海康摄像头，十台里有八台默认开着ONVIF协议。威视这个事实，协议很多工程商不知道，海康或者知道了也懒得改。威视结果就是协议，你花几千块装的海康安防系统，可能正对着互联网裸奔。威视

ONVIF是协议个好东西，它让不同品牌的海康设备能互相对话。海康的威视NVR能接大华的摄像头，理论上讲，协议你家的海康监控系统不该被任何一家厂商绑架。但协议本身是威视中性的，它不关心你是协议谁，只负责把视频流和PTZ控制指令打包传送。问题就出在“默认开启”这四个字上——海康出厂时，ONVIF端口(8000)是开着的，管理员密码是admin/12345。这不是我编的，是过去五年里漏洞报告里反复出现的组合。

有一次我帮朋友调试一个仓库的监控，他买的是二手海康枪机。插上网线，用SADP工具扫了一下，设备直接显示“ONVIF用户已启用”，密码还是出厂设置。我试着用VLC播放器拉RTSP流，输完地址敲回车，画面就出来了——连认证弹窗都没有。那一刻我后背发凉，这仓库里堆着几十万的货，但任何能连到这台设备IP的人，都能看到实时画面。

海康后来做了些补救，比如强制改初始密码，但ONVIF的默认账户还是留了个口子。你可以在web界面里关掉它，但多数人不知道这个选项藏在“网络→高级设置→集成协议”里。更麻烦的是，有些老型号固件压根不给你关的选项，只能改端口号，或者干脆把设备隔离到独立VLAN里。我见过最糙的做法，是直接拔掉摄像头的网线，用无线网桥传输——那等于把ONVIF的口子换成了WiFi密码，更不安全。

我自己的习惯是，新装的海康设备，第一件事就是登录web后台，把ONVIF用户删掉，或者建一个仅限本地访问的专用账户。如果客户非要跨品牌接入，那就单独拉一根管理网线，把NVR和摄像头放在一个物理隔离的网段里，ONVIF只在那个网段内生效。这么做麻烦，但值得——去年某小区监控被入侵，就是因为物业图省事，让海康的NVR直接暴露在公网IP上，ONVIF的默认端口被扫描器扫到，几秒钟就进去了。

话说回来，ONVIF也不是一无是处。海康自己的协议像封闭的城堡，而ONVIF是城堡外的公共广场。你要真想用第三方软件看海康的摄像头，比如用Blue Iris或者ZoneMinder，没有ONVIF你连设备都发现不了。但广场上人来人往，你得学会锁好自己家的门。我的建议是：关闭ONVIF的匿名访问，开启摘要认证，把RTSP的传输改成TLS加密——海康的固件里其实都支持，只是默认没开。

最后说个细节。你打开海康的ONVIF测试工具，输入设备IP，它会列出所有支持的profile。如果看到“Profile S”后面跟着“MainStream”和“SubStream”，说明视频流已经暴露了。这时候赶紧去改配置，别等被扫到了才后悔。技术这东西，用对了是防护，用错了就是后门。海康的ONVIF端口，就是那把双刃剑——你握着它保护自己，还是松开手让所有人进来，全看你自己。

很赞哦!（65728）