1. 物联网安全概述
1.1 物联网安全威胁全景
物联网安全，说白了就是「万物互联」带来的新麻烦。我做了十几年安全，看着智能设备从几百万台涨到几百亿台。设备多了，攻击面自然也大了。
你想想看，一个传统的IT系统，无非是服务器、PC、网络设备。攻击者要打进来，路径很有限。但物联网呢？摄像头、智能门锁、温控器、医疗传感器、工业PLC……每个设备都是一个潜在入口。
我个人习惯把物联网安全威胁分成四个层面：
- 设备层：固件漏洞、默认密码、物理接口暴露、存储敏感信息
- 网络层：协议劫持、中间人攻击、未加密通信、僵尸网络
- 平台层：云API缺陷、数据泄露、权限绕过、固件更新劫持
- 应用层：移动端漏洞、Web管理后台弱口令、配置不当
我在项目中遇到过一家智能家居厂商，他们的摄像头固件里硬编码了root密码。攻击者只要扫描到设备，用默认密码就能直接登录。嗯，这种案例太多了。
核心观点：物联网安全不是单点问题，而是从芯片到云端的全链路挑战。默认密码只是冰山一角，但它是攻击者最常用的「万能钥匙」。
1.2 默认密码问题的历史与现状
默认密码问题有多老？我记得2000年初，很多网络设备出厂密码就是「admin/admin」。二十多年过去了，你猜怎么着？现在很多物联网设备还是这套路。
为什么会这样？说白了，厂商追求的是「开箱即用」的体验。用户买回去，插电就能用，不需要设置密码。但代价是什么？安全。
我整理了一下默认密码问题的几个典型阶段：
| 时期 | 典型设备 | 默认密码 | 后果 |
|---|---|---|---|
| 2000-2010 | 路由器、交换机 | admin/admin, root/root | 内网被控，DNS劫持 |
| 2010-2016 | IP摄像头、DVR | admin/123456, 空密码 | Mirai僵尸网络爆发 |
| 2016-2020 | 智能家居、医疗设备 | 出厂序列号、固定弱口令 | 隐私泄露，勒索攻击 |
| 2020至今 | 工业物联网、车联网 | 硬编码凭证、未修改默认密码 | 生产中断，安全事件升级 |
2016年的Mirai事件，大家应该都记得。一个大学生写的恶意软件，利用摄像头和路由器的默认密码，搞出了当时最大的DDoS攻击。峰值流量超过1Tbps。嗯，这就是默认密码的「威力」。
避坑指南：我曾经帮一家工厂做安全审计，发现他们的工业网关出厂密码是「password」。更离谱的是，这个密码在设备手册里公开写着。攻击者只要拿到手册，就能直接控制产线。所以，默认密码不是「小问题」，它是「大漏洞」。
1.3 课程目标与学习路径
这门课，我打算带你系统性地解决默认密码问题。不是讲理论，而是讲实战。
课程目标很明确：
- 理解风险：知道默认密码为什么危险，攻击者怎么利用它
- 掌握方法：学会检测、评估、修复默认密码问题
- 建立体系：从产品设计到运维管理，形成完整的治理方案
学习路径我设计成三个阶段：
- 基础篇（第1-10章）：威胁分析、密码机制、攻击手法
- 实战篇（第11-20章）：检测工具、漏洞利用、修复方案
- 治理篇（第21-30章）：安全开发、合规要求、企业落地
你不需要是安全专家。只要懂基本的网络知识，跟着课程一步步来，就能上手。
我的建议：每章结束后，找一台你身边的物联网设备，看看它的默认密码是什么。实践是最好的学习方式。
下面这张图，是我梳理的物联网安全知识体系。你可以把它当作整个课程的「地图」。
这张图展示了整个课程的知识脉络。从默认密码这个核心问题出发，延伸到三大威胁域，再到攻击手法和治理方案。最终目标，就是帮你建立一套完整的默认密码风险管理体系。
好了，第一章就到这里。记住一句话：默认密码不是配置项，是安全漏洞。后面的章节，我会带你一步步深入。