设备默认密码别再背了：上线当天改密码、改端口、关外网

导语：这篇讲四件事：默认口令该从哪里查，为什么它是入侵的第一道门，上线当天必须做完的三件事，以及接手老现场时怎么处理不知道密码的设备。

新装的录像机通电了，师傅翻着手机找默认口令。

把默认密码背得滚瓜烂熟，不算本事，上线不改才是隐患。

调试设备，一半时间在查文档，另一半时间常在找默认口令。各品牌的交换机、路由器、录像机和摄像机都有出厂默认登录方式，新人入行时难免靠它开工。

本文不列任何具体的默认口令，只讲查询渠道和上线规范。

01 默认口令只走正规渠道查

正规渠道有三条：设备机身标签，很多设备把默认登录信息印在底贴上；随机附带的说明书或保修卡；厂商官方支持网站。

第三方汇总帖很多，但密码类信息建议只认官方渠道。来路不明的口令表，本身就不该出现在项目资料里。

拿到设备先核对型号和固件版本，不同版本的默认登录方式可能不一样；不少新设备首次登录会强制设置密码，这一步别图省事随手填个简单的。

密码类信息只认官方，别信转了几手的汇总帖。

02 默认密码是入侵的第一道门

大量摄像头、录像机被入侵，往往不是攻击者多厉害，而是设备还挂着出厂口令。自动化扫描工具会批量尝试常见弱口令，出厂默认值几乎都在名单前列。

所以默认口令只适合调试开机那几分钟，设备交付之前必须换掉。一台设备被攻破，泄露的不只是画面，它还可能被当成跳板，继续扫描内网里的其他设备。

默认密码是运维的钥匙，也是别人的钥匙。

03 上线当天筑好三道防线

三件事从外到内排，正好是三道防线：

• 第1道 管理口不暴露公网：需要远程就走VPN或厂商的安全通道，别把后台直接映射到外网；
• 第2道 改管理端口：把网页和管理端口从默认值改掉，能挡掉相当一部分自动化扫描；
• 第3道 改密码：复杂度足够，不与其他系统复用，按设备分别设置，别全项目共用一个。

用不到的远程服务和功能顺手关掉，暴露面越小，被扫到的机会就越少。

这三道不是洁癖，是底线动作。等保测评和网络安全检查里，弱口令与管理口暴露通常都是重点检查项。

能上网不等于可以不设防，上线当天就关门。

三道防线的顺序见下图。

技术关系示意：管理口不暴露公网、改管理端口、改密码由外到内三道防线（非真实界面）。

04 接手老现场：先确认，再恢复

遇到不知道密码的设备，先别一个个猜默认值，频繁试错可能触发锁定。先确认它是否还停留在出厂口令；如果确实改过又没人记得，就按机型走官方的密码恢复流程，并保留授权记录。不少恢复方式会清掉配置，动手前先确认业务能否接受，能导出的配置先备份。

恢复后同样按三道防线重新收口，改完的密码立即入档，顺手记下恢复日期和操作人。

05 密码要进台账，不能只在人脑里

新密码、新端口要写进加密保存的运维台账和移交清单，避免出现只有安装师傅知道的局面。端口改动同步到防火墙放行表，云管理和远程功能按甲方安全要求决定开关，不默认全开。

人员离场、项目移交时，统一再改一轮密码，交接才算干净。台账本身也要设访问权限，别把明文密码发在工作群里。

密码只在师傅脑子里，等于没有管理。

决策示意：上线改密与密码台账、移交改密的闭环（非真实项目）。

你们项目交付时，是统一改密入台账，还是各设备各管各的？今天先查一遍手上有没有还挂着默认口令的设备。

— 鑫禾智城

关注鑫禾智城，弱电现场的坑，提前帮你想明白。