如何保护网络摄像机和录像机免遭入侵：密码、升级、VLAN——以2025年漏洞为例

摄像机和录像机都是带操作系统、网络接口和密码的小型计算机。如果它们可从公网访问且从不升级，自动扫描器几小时内就能找到。攻击者目的各异：观看或下载视频、把设备拉入僵尸网络攻击其他网站、把摄像机当作进入办公内网的跳板，或者干脆删除录像。

对业主来说这不是抽象风险。含有人员画面的录像泄露违反个人数据法，责任由系统运营者——也就是您——承担。被入侵的录像机可能恰好在需要录像的那一夜停止录制。而沦为僵尸网络一员的摄像机会占用带宽，有时还会导致运营商封禁您的IP地址。

2025年夏天，大华发布了两个漏洞的安全公告：ONVIF协议处理模块中的CVE-2025-31700和文件上传处理模块中的CVE-2025-31701。两者评分均为8.1分（满分10分）：特制的网络数据包可使摄像机崩溃，在部分型号上可导致远程代码执行。受影响的有大众化的IPC-1XXX、IPC-2XXX、IPC-WX、IPC-ECXX系列以及SD3A、SD2A球机；编译日期在2025年4月16日之后的固件不受影响。修复程序已发布在厂家下载中心，支持云升级的设备会自动收到。

海康方面，2025年9月研究人员记录到针对旧漏洞的新一轮利用尝试：2017年已修复的CVE-2017-7921和2021年9月修复的CVE-2021-36260，两者评分均为9.8分。攻击者尝试默认密码和弱密码，并寻找多年未升级固件的设备。

两件事的教训相同：被攻破的不是新摄像机，而是未升级、直接暴露在公网的设备。厂商会修补漏洞，但补丁不安装就毫无作用。下面五项措施可以消除绝大部分风险。

最常见的错误是为了用手机看监控而在路由器上做端口映射：录像机的网页界面对全世界的扫描器开放。第二是路由器上开着UPnP，摄像机借此自己打开端口。厂商和研究人员建议首先关闭的正是这两项。

远程查看应换一种方式。方案一是厂家云平台：海康的Hik-Connect或大华的DMSS。连接由设备主动发起，无需在路由器上开端口，视频由加密密钥保护。方案二是路由器上的VPN：手机或电脑通过加密通道接入办公网，像在内部一样查看摄像机。对于多个站点的企业，VPN更可靠也更方便。

自查很简单：打开路由器设置，查看端口转发和UPnP。如果有指向摄像机或录像机的规则且UPnP开启，这就是首先要修正的地方。

新的海康和大华摄像机不能使用默认密码——必须设置自己的密码激活。但老系统里仍能见到admin/12345，以及安装工用记号笔写在录像机上的密码。密码应足够长，包含字母、数字和符号，录像机与云账号的密码要不同。

日常不应使用管理员账号。为保安和员工建立只能查看所需摄像机的独立账号；给承包商临时权限，完工后收回。开启多次登录失败后锁定——这样2025年攻击者使用的密码爆破就失去作用。

另外还有云平台的加密密钥（海康称为验证码）。不要保留出厂值，也不要印在标签上。密码和密钥可在设备网页界面或SADP工具中修改；具体方法见我们关于SADP的文章。

2025年针对海康的两波攻击利用的都是四年和八年前的漏洞。这说明被攻破的设备一次都没有升级过。请每季度检查一次固件版本——网页界面、SADP和应用中都能看到——并与厂家网站上的最新版本对比。

固件只能从官方下载中心按准确型号和硬件版本下载，或通过云升级安装。论坛和聊天软件里流传的固件本身就是风险。升级录像机前先导出配置，非常老旧的设备要按厂家说明经由中间版本逐级升级。

对于不再提供升级的摄像机只有一个办法：把它们隔离在无法访问公网的独立网络中，或者更换。一台新的大众化网络摄像机通常比一次录像泄露事件的代价低。

摄像机没有理由看到财务，财务电脑也没有理由看到摄像机。因此视频监控应放入独立子网或VLAN：摄像机只与录像机通信，录像机是唯一与外网和办公网相连的设备。即使员工电脑被攻破，也接触不到摄像机，反之亦然。

技术上，VLAN在网管型或智能型PoE交换机和路由器上配置。小型项目更简单的做法是使用自带PoE口的录像机：接在这些端口上的摄像机处于录像机的内部网络，办公网根本看不到。在路由器上再加一条禁止摄像机访问公网的规则；升级和云服务都经由录像机进行。

我们目录中适合的设备有：支持VLAN和ACL的TP-Link SG2210P智能交换机、TP-Link ER605 VPN路由器和MikroTik hEX S路由器。为视频监控配置路由器和网络是我们的一项独立服务。

关闭不用的服务：Telnet和SSH、摄像机本身的UPnP、如果通过VPN访问则关闭云P2P。注意：大华2025年的漏洞之一就在ONVIF处理模块——如果不需要用ONVIF接入第三方录像机，最好关闭；如果需要，为其设置单独的带密码用户。

网页界面用HTTPS代替HTTP，开启NTP时间同步——没有准确时间，事件日志在调查时毫无用处——并定期查看登录日志：陌生IP、未知用户和被修改的设置，是有人已经进入的第一个信号。

如有被入侵迹象，处理顺序是：断开设备公网连接、升级固件、恢复出厂设置、为所有账号设置新密码和新加密密钥、检查路由器是否有开放端口。

消除主要风险的五项：路由器上没有指向摄像机的端口映射且UPnP关闭；录像机和云账号使用不同的长密码，员工使用无管理员权限的个人账号；摄像机和录像机固件为厂家最新版本；摄像机处于无公网访问的独立网络；多余服务已关闭，登录日志有人查看。

根据个人数据法，保护录像的责任在系统所有者，因此这些要点应写入内部规程：谁更换密码、谁检查升级、谁可访问录像。详见我们关于视频监控与个人数据的文章。

如果系统安装已久或由不同承包商安装，委托检查更省事：工程师按清单逐项检查、升级固件、把摄像机移入独立网络，并配置无需开放端口的远程访问。之后纳入维护合同：按计划升级并检查日志。按您的设备数量，我们在一个工作日内提供报价。