一、"接管"是什么

接管（也常说"被控"）指的是：攻击者在你不知情的情况下，拿到了你设备的控制权。

被接管的设备有个通俗的叫法——肉鸡。一群肉鸡被统一指挥，就成了僵尸网络。

它和别的攻击最大的区别在于方向：

最后一行是这一节的要害。 被接管的设备不会报错、不会变慢（很多时候）、也不影响你用——它只是在后台替别人干活。

二、为什么攻击者偏爱这一招

因为"用别人家的机器"同时解决了三个问题：

1. 藏身份——攻击是从千千万万个普通家庭的地址发出来的，追到谁的头上都不太对。
2. 省成本——不用买带宽、不用买服务器，用别人的电和别人家的宽带。
3. 难封堵——如果这上百万台一起动手，任何单一目标都扛不住（这就接到 2-7 的拒绝服务攻击）。

而"能获得这种机器"的原因，翻来覆去就是那三条：

• 出厂口令没改（admin/admin、root/root）
• 固件和补丁常年不更新（这些东西往往没有自动更新机制）
• 服务或端口暴露在公网上

这三条都不需要多高的技术，只要"没人管"就够了。

三、什么样的设备最危险

一句话判据：联网、常年开机、且没人管。

最典型的一批是：家用路由器、网络摄像头、录像机、智能电视盒子。它们的特点是"装完就忘"——买回来插上电，用到坏为止，中间从不更新、从不改口令。从管理的角度看，它们是无主的；从攻击的角度看，它们是免费的。

规模有多大？公开统计称全球联网的物联网设备已超过 180 亿台，其中约 24 亿台存在可被利用的漏洞。这就是僵尸网络能长到几百万台的根本原因——不是攻击者厉害，是这堆设备本来就没人守。

四、"被接管"之后，你要面对什么

这是本节最实用的一段。就算不谈法律，也有四件事会落到你头上：

1. 你的 IP 会出现在攻击记录里。 对外的日志只会记"攻击来自某个家庭宽带地址"，而那个地址是你的。
2. 你可能被服务商限制甚至断网。 运营商会监测异常的对外连接，一旦判定为攻击流量，按规则是先断你的网。
3. 你的隐私真的会丢。 摄像头被控制意味着摄像头对着的地方已经被看过了；有判例显示攻击者正是靠批量登录他人家庭摄像头来观看并截图。
4. 你可能要花很多时间自证。 被卷进一起案件里，即使最后查清与你无关，过程本身就是成本。

所以"接管"这件事的可怕之处不是技术性的，而是它把成本转移给了不知情的人。

五、动手 Demo：哪一类设备最容易被拉进僵尸网络

# 三个因子：① 出厂口令没改 ② 固件/补丁落后 ③ 端口或服务暴露在外
# 每项 0~3 分，总分 >= 7 判【高】，>= 4 判【中】，其余判【低】
devs = [
    ("家用路由器（2019 出厂，固件从未更新，开远程管理）", 3, 3, 3),
    ("网络摄像头（出厂口令 admin/admin 没改）", 3, 2, 3),
    ("廉价 Android TV 盒子（预装住宅代理软件）", 3, 3, 2),
    ("录像机 DVR（固件 5 年未更新，暴露公网）", 3, 3, 2),
    ("智能灯泡（只在本地局域网通信）", 1, 1, 0),
    ("NAS（开启自动更新，强口令，不暴露公网）", 0, 0, 0),
    ("网络打印机（打印端口映射到公网）", 1, 2, 3),
    ("办公电脑（有终端防护 ＋ 自动打补丁）", 0, 0, 0),
]

实跑输出：

  三个因子：① 出厂口令没改 ② 固件/补丁落后 ③ 端口或服务暴露在外

  设备                                            弱口令   固件落后    暴露在外    总评
  ------------------------------------------------------------------------------------
  家用路由器（2019 出厂，固件从未更新，开远程管理）                   3       3         3         高（9/9）
  网络摄像头（出厂口令 admin/admin 没改）                    3       2         3         高（8/9）
  廉价 Android TV 盒子（预装住宅代理软件）                    3       3         2         高（8/9）
  录像机 DVR（固件 5 年未更新，暴露公网）                       3       3         2         高（8/9）
  智能灯泡（只在本地局域网通信）                               1       1         0         低（2/9）
  NAS（开启自动更新，强口令，不暴露公网）                         0       0         0         低（0/9）
  网络打印机（打印端口映射到公网）                              1       2         3         中（6/9）
  办公电脑（有终端防护 ＋ 自动打补丁）                           0       0         0         低（0/9）

  合计：高 4 ｜ 中 1 ｜ 低 3

  ①【被接管】的可怕之处：你什么坏事都没做，但攻击是从你的 IP 发出的。
  ② 2026 年的真实规模：Aisuru / Kimwolf 等僵尸网络感染了 300 万+ 台设备，
     主机是录像机、网络摄像头、路由器，以及大量廉价 Android TV 盒子。
     到 2026 年 4 月，单个僵尸网络已经涨到约 1350 万台。
  ③ 黑产已经做成订阅制：僵尸网络套件月租低至 15~20 美元。
  ④ 2026 年新手法：不再从公网扫描，而是借住宅代理从【家里内部】扫——
     路由器那一层 NAT 保护直接被绕过去了。

读这个输出：排在最上面的四台，共同点是三个因子都至少中两条。再看排最后那两台——它们不是"特别贵的设备"，只是口令换过、有自动更新、不直接暴露而已。这说明被接管的门槛低得可怕，而避免它的代价也低得可怕：改个密码、开个自动更新，就能从"高危"跳到"低危"。

六、⚠️ 2026 现状

• 规模到了"千万台"这一档。 2026 年的一次多国联合执法行动一共瓦解了四个互相关联的物联网僵尸网络，合计感染超过 300 万台设备；到 2026 年 4 月，其中最大的单个已经增长到约 1350 万台，一年之内涨了约十倍。被感染的主要是录像机、网络摄像头、Wi-Fi 路由器，以及大量低价 Android 电视盒子。
• 执法在跟进，但清不掉。 2026 年 3 月，美国司法部联合加拿大、德国的执法机构查封了这四个僵尸网络的指挥控制设施，二十多家科技企业参与协助。但公开评论也指出：攻击者能在很短时间内重建基础设施——所以单靠执法不能根治。
• 黑产已经做成订阅制。 现成的僵尸网络套件月租低至 15~20 美元，在地下论坛和暗网公开出售、分级定价、还提供客户支持。门槛低到这个程度，"技术厉害"不再是攻击的必要条件。
• 2026 年的新手法绕过了"路由器保护内网"这条假设。 新一代僵尸网络变种不再从公网扫描漏洞设备，而是借住宅代理服务从"内网里面"扫——它先感染一个已经装了代理软件的设备（很多廉价电视盒预装这类软件），然后以这台设备为跳板去扫同一局域网内的其他设备。这直接推翻了"我的设备在路由器后面，外面扫不到"这个二十年来的默认假设。
• "被接管"和"被勒索"常常是同一件事的两面。 越来越多的做法是先用 DDoS 当烟雾弹（见 2-7），在防守方忙着扩带宽时同时做勒索、偷凭据、外传数据。被接管的设备既是发起者，也常常是下一个受害者。
• 给你一个可以马上做的动作：很多路由器后台能看到"已连接设备列表"。如果列表里出现你不认识的设备，先怀疑自己的网被别人用着。 这件事在 2026 年比以前更常见——因为电视盒、摄像头这类设备本身就可能是被预装了东西的。

30 秒实验

打开你家路由器的管理页面（一般是浏览器输 192.168.1.1 或 192.168.0.1，账号密码常在机器背面）：

1. 看"已连接设备"或"客户端列表"——数一数，和家里实际的设备数对得上吗？有没有不认识的名字？
2. 找"固件升级"或"系统更新"——看看上次更新是什么时候。如果显示"当前版本已是最新"，说明这条路是通的；如果从来没更新过，那它就是这个家里最弱的一环。
3. 找"远程管理"或"远程访问"——如果它是开着的，关掉。这是最容易被利用的一个口子。

这一节要带走的一句是：你以为你什么都没做，但你的设备正在替别人做事——所以"我不管它"本身就是一种风险。

常见误区

1. 错误：我的设备性能那么差，攻击者看不上。——纠正：攻击者要的恰恰是"性能差但数量多"。 一台设备慢不要紧，成千上万台一起出力就够打瘫一个目标（这也正是"分布式"拒绝服务攻击的原理）。而且越不起眼的设备越没人管，越适合长期潜伏。

2. 错误：设备在路由器后面，外面扫不到，所以安全。——纠正：这个假设在 2026 年已经被打破了。新的手法是借住宅代理从内网内部扫——先感染一台已经在内网的设备（比如预装了代理软件的电视盒），再从里面往外看。"躲在路由器后面"是一种布局，不是一道墙。

3. 错误：我只是被控制，又没去攻击谁，法律上跟我没关系。——纠正：两件事都要说清。第一，如果确实是因为你没有履行基本的防护义务（比如出厂口令从不修改），在行政层面是可能被追责的。第二，更实际的风险是：你要花大量时间去证明"这不是我干的"——而这个过程本身就已经是损失了。所以防接手不是为了别人，是为了不给自己添麻烦。

4. 错误：装了杀毒软件就没事了。——纠正：这一章讲的这批设备（路由器、摄像头、录像机、电视盒）绝大多数根本装不了杀毒软件，它们的固件是厂商烧进去的。对这类设备，能做的只有：改出厂口令、保持固件更新、不开不必要的远程访问、把它和自己的重要设备分开放。

• ☐ 下一节（2-6 设置用于攻击的后门）

相关笔记

• 增加负载的攻击类型 —— 接管来的机器最终被用来干什么
• 设置用于攻击的后门 —— 下一篇：比"被借用"更麻烦的是"被留下一条路"
• 法律对非法访问的定义 —— 控制他人计算机系统的法律后果
• 信息安全中不可或缺的认知 —— 用资产与风险的眼光看自己的设备
• 🛡️ 网络与信息安全 · 索引 —— 全课路线图