Hanwha 摄像头固件泄露 GitHub 管理员令牌

My security camera shipped a GitHub admin token in its login page

我在分析 Hanwha Vision 的摄像头固件时，意外发现其登录页面中嵌入了一个拥有数百个仓库管理员权限的 GitHub 令牌。通过逆向工程解密固件，我发现由于构建时错误地将整个 CI 环境变量写入文件，导致敏感凭证被硬编码在多达 30 个文件中。更令人玩味的是，这些环境变量中竟出现了指向美国国防部 IP 地址的配置，暗示 Hanwha 集团内部复杂的业务关联。尽管问题严重，Hanwha 在收到报告后 12 小时内便迅速响应并撤销了令牌，展现了高效的漏洞处理机制。