Flock 摄像头漏洞百出，还内置硬编码凭据

Flock cameras are riddled with security vulnerabilities and hard-coded credentials — micahflee.com · 2 小时前 · 🔒 安全

Flock Safety 部署在街头、社区入口和警车上的自动车牌识别（ALPR）摄像头，在被公开固件镜像后暴露出大量安全漏洞与硬编码凭据，成为监控行业安全承诺与工程质量严重脱节的最新样本。DDoSecrets 这次公开的不是数据库导出或截图，而是一台正在服役的 Flock ALPR 摄像头的分区文件系统镜像，材料由一个名为 stegan0gram 的集体获取，404 Media 与 Wired 据此发表联合调查，安全研究者 Micah Lee 下载镜像后自行解包分析，并把过程写成了这篇技术笔记。镜像里保留着完整的系统分区、启动流程、网络服务与配置文件，其中可以看到以明文或弱编码形式存放的登录凭据、写死在固件中的服务账号，以及默认开启却缺乏鉴权的远程接口。这类缺陷的严重性来自 ALPR 设备的特殊性：摄像头持续记录车牌、时间与位置，长期累积后构成可回溯个人行踪、推断社交关系与生活规律的监控数据库，而硬编码凭据无法通过常规运维轮换，意味着同一型号任意一台设备的固件都可能是攻击其他设备的钥匙。设备又往往安装在电线杆、路口和小区门禁等物理可达位置，本地接触加上固定凭据的组合，让「拆下硬件就能接管」成为现实，失守的单点会沿着同一固件、同一云平台和同一套凭据横向放大。取证级别的数据集还让一个长期靠厂商声明来回答的问题变得可验证：加密与访问控制是否真的生效，调试接口是否真的关闭，凭据是否真的可以轮换。作者的核心观点是，Flock 一边向警察局和业主协会推销安全合规的监控基础设施，一边交付难以安全运维的消费级硬件，受损的不只是数据保密性，而是整套大规模监控体系的公信力被从底层击穿。

核心论点

DDoSecrets 公开的并非数据库导出或截图，而是一台正在服役的 Flock ALPR 摄像头的分区文件系统镜像，材料由 stegan0gram 集体获取，404 Media 与 Wired 据此联合发表调查，安全研究者 Micah Lee 下载后逐层解包，使外界第一次能够直接审计设备的操作系统、启动流程、网络服务与配置文件，而不必依赖厂商的安全声明，这类取证级材料也让漏洞是否普遍存在于同一固件版本变得可复现、可验证。
镜像中最致命的一类是写死在固件里的硬编码凭据：登录口令、服务账号与密钥以明文或弱编码形式存放在配置文件中，既无法通过常规运维轮换，也无法由终端用户修改，任何拿到同一型号设备固件的人都能复用同一套凭据，攻击者掌握其中一台就等于掌握了整个型号的通用入口，而 ALPR 摄像头又常安装在电线杆、路口和小区门禁等物理可达位置，本地接触加固定凭据的组合让「拆下设备就能接管」不再是理论推演。
ALPR 摄像头的价值与风险都集中在数据本身：它们持续拍摄车牌并附带时间戳与地理位置，长期累积后形成可回溯个人行踪的监控数据库，因此单台设备失守的后果会沿着同一固件、同一云平台和同一套凭据横向放大，而 Flock 向警察局和业主协会推销的「安全合规」叙事与实际工程质量之间的落差，才是这次披露真正的杀伤力所在。
对采购方而言，这次披露给出了可执行的尽调清单：要求厂商提供可审计的固件与软件物料清单，确认凭据能够轮换而非硬编码，验证设备是否默认开放调试接口与远程服务，对 ALPR 网络做严格隔离与最小权限配置，并把固件可被独立研究者检查写进合同条款，否则所谓的安全合规只是厂商单方面的说法。

💡 为什么值得读: 它把一台在役监控摄像头的完整固件摊在桌面上，让「大规模车牌监控到底安不安全」这个问题第一次有了可复现的取证答案，而不是厂商的公关口径。

🏷️ ALPR, hard-coded credentials, vulnerabilities, surveillance