刚在 Hacker News 上看到一个帖子，讲的是有人买了 Hanwha（就是那个做安防摄像头的韩国厂商）的监控摄像头，然后手贱去扒了一下固件，结果挖出来一个大瓜——摄像头固件里直接嵌了一个 GitHub 的 admin token，能访问他们组织里几百个仓库。
怎么发现的
这哥们的操作挺骚的。先去 Hanwha 官网下载了固件 blobs，发现有两层加密。第一层密码是 "HTW + 型号" 这种弱智级加密，但第二层换了方案。他本来准备用 Ghidra 慢慢逆向那个固件升级程序（fwupgrader），结果直接扔给 Claude Code 去分析了，吃个饭回来就拿到了完整的文件系统。用 AI 做逆向工程这事现在真的越来越离谱了——以前手动分析要几天的事，现在一顿饭功夫搞定。
加密有多水
解密后发现，这个固件升级程序的所谓"加密"其实是用一个 XOR 密钥表把 AES key 藏在二进制里，IV 直接明文写死在代码里。而且解密命令居然是直接 system call 调 openssl CLI，连命令片段都是同样的 XOR 混淆。说白了就是掩耳盗铃级别的"加密"——防君子不防小人的那种。
真正的炸弹：process.env 泄露
拿到 rootfs 之后立马跑 trufflehog 扫了一遍，发现一个 GitHub token 重复出现在 30 多个文件里。原因是他们用 Vite 构建摄像头 UI 的时候，有个变量被设成了 process.env——整个 CI 环境变量全被写进前端文件了。GitHub token 就这么跟着固件一起发布了，而且权限还是 Admin，能访问几百个仓库。
我就想说，用 Vite 的哥们，import.meta.env 了解一下？别直接把 process.env 塞进前端代码里啊……这属于前端工程化的基本常识了。
对站长的启示
虽然这事说的是安防摄像头，但道理是一样的。我们自己搭论坛、跑服务的，谁没在配置文件里放过密码？数据库密码、API key、邮件 SMTP 密码……说不定哪天打包的时候也一并给打包进去了。建议大家都检查一下：
- 没用到的环境变量别写进构建产物里
- GitHub token 权限能用 read-only 就别给 write，更别给 admin
- 固件/镜像发布前扫一遍敏感信息（trufflehog 这种工具免费又好用）
说实话这事在 2026 年还发生挺魔幻的，一个做安防摄像头的公司，自己的安全做得跟筛子一样。不过反过来想，能被白帽子挖出来也是好事，总比被黑产发现强。
原文：My security camera shipped a GitHub admin token in its login page
