当你用电视盒子追剧时，它可能同时在被远程操控挖矿、发起攻击、窃取你的内网数据。我们基于网络空间测绘平台的数据发现：全球超 1.7 万台设备 ADB 调试端口暴露在公网，其中电视盒子及 OTT 设备占比最高，而超过六成集中在大中华区。

一、背景：ADB 无认证 = 设备大门敞开

ADB（Android Debug Bridge） 是 Android 系统内置的调试工具，通常通过 USB 使用。但当设备开启 TCP/IP 网络调试模式（端口 5555） 且未启用 RSA 密钥认证时，任何能访问该 IP 的人都可以通过 `adb connect` 直接获得设备的 root 级 Shell 权限。

攻击者一旦连接成功，可以做到：

• 完全控制设备：静默安装/卸载应用、读写任意文件、窃取敏感数据
• 实时监控：屏幕截图、键盘记录、远程开启摄像头和麦克风
• 横向渗透：以被控设备为跳板，扫描并攻击内网中的其他资产
• 僵尸网络：将设备批量纳入挖矿、DDoS 攻击节点

二、全球态势：测绘 1.7 万台 ADB 暴露，大中华区独占 56%

图为部分资产统计

2.1 资产总量

基于网络空间测绘引擎协议指纹检索（2026 年 6 月 22 日）：

全球 ADB 协议资产超 1.7 万台，大中华区独占近万，超过全球半数。交叉验证显示，部分海外测绘引擎因扫描覆盖范围限制，仅探测到约 3,300 台（为保守下限），国内测绘引擎在国内具备更全的探测能力。

2.2 未授权比例

由于无法直接检索协议 banner 中的认证状态字段，我们以可获取设备详细指纹的测绘数据作为未授权比例的参照基准：

按此比例推算未授权规模：

推算结论：全球约 2,000 台 ADB 设备无需认证即可远程控制，其中大中华区约 2,000 台，几乎与全球推算值持平——这是因为大中华区设备基数大（56.1%）且未授权比例（20.4%）是全球均值（11.5%）的近两倍，两者叠加导致大中华区未授权设备规模与全球其他地区总和相当。

2.3 其他重点国家/地区

除大中华区外，韩国、美国、日本、土耳其、瑞典同样是 ADB 暴露的重灾区。韩国以电信运营商网络为绝对主力，美国分散于多个家庭宽带运营商，日本集中在移动通信网络。

三、大中华区深度画像：三大区域各具特色

大中华区近万台 ADB 暴露设备中，三地呈现出截然不同的设备类型和风险特征。

3.1 中国大陆：运营商机顶盒 + 老旧手机为主

主要风险来源：

• 运营商 IPTV 机顶盒（占比最高）：国内三大运营商的宽带配发机顶盒是暴露最多的设备类型，采用主流 Android 芯片方案。这些设备在固件中保留了网络 ADB 作为远程排障通道，发放到用户家中后未被关闭，覆盖全国多个省市。
• 老款智能手机：已发布超过十年的老型号是被检测到最多的未授权手机，此外部分游戏手机、国产旗舰机型也有出现。多为开发者或极客开启远程调试后遗忘关闭。
• 智能电视与商显设备：多品牌智能电视和商用显示屏存在 ADB 无认证暴露，大屏设备自带的摄像头和麦克风一旦被控，后果严重。
• 云手机/容器环境：公有云上存在容器化 Android 实例将 ADB 端口直接映射到公网，疑似测试环境或群控基础设施。

运营商维度：三大运营商的宽带用户合计占比较高，公有云环境次之。

3.2 中国台湾：智能电视与会议终端暴露突出

主要风险来源：

• 智能电视（最具地域特色）：日系品牌智能电视在主流宽带运营商用户中多台暴露，设备 ADB 无认证。电视自带的摄像头和麦克风成为潜在的家庭窃听器。
• 视频会议终端：高端企业级视频会议终端被检测到以无认证状态暴露在运营商网络内。攻击者可远程获取会议室实时画面和音频，构成商业间谍风险。
• OTT 电视盒子：面向本地市场的盒子品牌在多运营商网络中出现。
• 智能手机与平板：国际品牌旗舰手机、国产手机、二合一平板等。

运营商维度：以当地最大的电信运营商为主，多家二级运营商次之。

3.3 中国香港：电视盒子绝对主导，海外特供品牌全系列沦陷

主要风险来源：

• 海外特供电视盒子（最具地域特色）：专攻海外华人市场的电视盒子品牌，预装大量国内视频 APP。从检测数据来看，该品牌多代产品均存在 ADB 无认证问题，表明整个产品线的固件方案都未做安全加固。这是面向海外华人群体的典型供应链安全风险。
• 外贸电视盒子：多款白牌及外贸盒子在香港 ISP 网络中出现，均为未授权暴露。
• 运营商定制设备：当地最大电信运营商定制的 IPTV 机顶盒、以及内地运营商魔百和系列等也出现暴露，说明运营商定制设备的安全问题在内地和香港均有共性。
• 旗舰手机：国际品牌高端手机同样存在未授权暴露。

运营商维度：当地最大电信运营商占比最高，多家宽带和移动运营商次之。香港面积虽小，但暴露设备密度极高。

四、未授权 ADB 设备六大类型及攻击场景

类型一：运营商 IPTV/OTT 盒子（占比最高）

• 代表特征：采用主流芯片方案的运营商定制机顶盒
• 根因：固件出厂默认开启网络 ADB 供远程运维，配发用户后未关闭
• 攻击场景：设备 24 小时在线，批量控制后可组建大规模僵尸网络

类型二：外贸/第三方电视盒子

• 代表特征：白牌方案商固件，面向海外华人市场或跨境销售
• 根因：方案商固件"一套通配"，安全投入为零
• 攻击场景：用户家庭被控后可窃取家庭内网信息

类型三：智能电视

• 代表特征：日系、国产及欧洲品牌
• 根因：厂商调试接口未清理，用户无法感知
• 攻击场景：电视摄像头和麦克风成为完美的家庭/酒店窃听器

类型四：智能手机

• 代表特征：老款国际品牌（占比最高）、旗舰机型、游戏手机
• 根因：开发者/极客开启网络 ADB 后遗忘关闭
• 攻击场景：个人照片、聊天记录、银行 APP 数据可被完全窃取

类型五：企业/会议设备

• 代表特征：高端视频会议终端、商用显示屏
• 根因：企业 IT 部署时未进行安全加固
• 攻击场景：商业间谍、会议室窃听、内网横向渗透跳板

类型六：云手机/容器

• 代表特征：公有云上运行的容器化 Android 实例
• 根因：容器网络配置不当，将 ADB 端口映射到公网
• 攻击场景：测试数据泄露、群控基础设施被接管

五、大中华区为何成为重灾区？—— 全球 56% 资产占比背后的产业链原因

大中华区 ADB 暴露资产占全球 56.1%，且未授权比例（20.4%）接近全球均值（11.5%）的两倍。我们认为有以下深层原因：

1. 1. 白牌 OTT 盒子产业链：大中华区是全球 Android 电视盒子的制造中心，大量白牌/外贸盒子使用同一套未做安全加固的固件方案，ADB 默认开启或被遗忘在生产环节。
2. 2. 运营商定制设备"远程运维"惯性：三大运营商的 IPTV 机顶盒在固件中保留网络 ADB 作为远程排障通道，设备配发到用户家中后未被关闭。
3. 3. 海外华人特供产品安全缺位：针对海外华人市场的电视盒子品牌，固件安全投入几乎为零，且目标用户多为非技术人群，无法自行发现和处置。
4. 4. 公有云容器方案广泛使用：国内大量云真机测试平台、自动化群控系统使用容器化 Android 方案，开发者为了方便将 ADB 端口直接暴露在公网。
5. 5. 安全意识与合规标准差距：相较于欧美市场，国内 IoT/智能设备的安全合规标准执行较松，厂商普遍缺乏安全开发生命周期（SDL）流程。

六、安全建议

对设备厂商

• 出厂默认关闭网络 ADB，或至少强制启用 RSA 密钥认证
• 将 ADB 端口检查纳入出厂质检环节
• 对已出货设备通过 OTA 推送安全更新

对企业用户

• 使用网络空间测绘平台定期自查公网资产暴露面
• 在防火墙/安全组中禁止 5555 端口的入站流量
• 视频会议终端、商显设备部署时专项检查 ADB 状态

对个人用户

• 检查家中电视盒子/智能电视：进入"设置-开发者选项"（如有），确认"网络 ADB 调试"处于关闭状态
• 如非专业需要，切勿在手机上开启"网络 ADB 调试"
• 定期重启智能设备，部分设备重启后 ADB 会恢复关闭

七、结语

从测绘数据来看，全球 1.7 万台 ADB 暴露资产中，大中华区独占 56%，且推算未授权设备约 2,000 台——与全球其他地区总和相当。这已不是个别开发者的疏忽，而是从芯片方案商 → ODM/OEM 厂商 → 运营商 → 终端用户整条产业链的安全缺位。

当您客厅里的电视盒子在播放节目时，它可能正在为某个僵尸网络"打工"；当您在会议室进行商业谈判时，墙上的会议终端可能正在将画面传输给未知的第三只眼。

我们呼吁产业链各方正视这一安全风险，别让 ADB 成为 Android 生态中最简单、也最危险的后门。