导语：家里那台 2025 款三星电视，推送的广告精准到让人发毛。研究员试着逆向固件，结果固件是 AES 加密的，不拆机做 UART/JTAG 物理调试就拿不到密钥。行吧，那就写零日。拿到 root 之后翻出来的东西，比广告本身刺激得多。
一、广告太精准，那就自己看
10 月 21 日晚，安全研究员 log4j 在 X 上发了条推文：家里那台相对新的三星电视一直在给他推送”诡异得离谱”的定向广告。他先去翻固件，结果固件是 AES 加密的，拿不到密钥，除非把电视拆开、焊引线、跑 UART/JTAG 那套物理调试。
他的结论很干脆：不逆向了，直接上零日，目标写得很直白——”给新款三星电视搞一个 root shell”。这条推文一天半涨到 120 万浏览、1.8 万点赞、6400 多次收藏，他还顺手 @ 了 GamersNexus。
零日细节到现在也没公开，推文结尾那句 “write up?” 至今没有下文，三星智能电视赏金站的公告页上也没出现对应的 SVE 或 CVE。
二、root 之后翻出来的那份清单
第二天补发的推文把战果列了一遍：常驻热麦克风（always-on hot mic）、自动内容识别（ACR）、地理定位、网络测绘、一套定向广告服务、4 套互不相同的 DRM，再加用户画像构建——”一台 3000 美元的电视，连同三星和他们的 400 家合作伙伴”。
第一张截图是他在 Mac 上用 netcat 连进电视的 root shell，跑 df -h 看分区：/dev/root 1.9G，/opt 挂在 /dev/mcblk0p21 上占了 3.9G，还有 /usr/share/chromium-ef1 这种应用沙盒目录。另一条命令是在 Mac 上跑 nc -1 49101 > /tv_full_dump_v2.tar.gz，把电视整个文件系统打包回传本地慢慢拆。/tmp 目录里还留着 .S001-appzone-loader.ready、.S001-hw-loader.ready、asf_service.ipc 这类服务就绪标记。
第二张截图是电视里的 security-policy.xml，高亮那一行是 csapi-tv-service-alwaysonvoice。这份策略文件把电视上的服务包一个个摊开：contentservice、ambient、adinfo、billing、walletkeystore、custommode、remotepc、remoteapp、nui、network-wifi-direct、network-bluetooth、multimedia-content-service……常驻语音服务是系统级的一等公民，不是某个 App 里的功能开关。
但要注意措辞：这份文件证明的是”服务存在”，不是”它在往上传什么”。这两件事差着十万八千里。
三、标题党 vs 研究文档自己划的边界
二手报道已经开始加戏，有媒体写成”三星电视 24/7 录你家客厅的声音，每分钟把数据发给第三方服务器”。
同一波研究者在 GitHub 上公开的 Quiet Tizen 项目文档里，话说得很克制：唤醒词检测不等于”持续录音并上传用于广告”，他们没有观察到任何证据支持这个结论。ACR 更准确的描述是”屏幕内容指纹”——把画面采样成指纹去比对节目库，不是把可读截图传走。项目文档写得很清楚：没有相机，没有持续录音，没有可读截图外传，也没做解密抓包审计。
真正硬的数据来自学术界。10 月 19 日公开的论文《Watching the Watchers: Privacy Analysis of U.S. Smart TV Automatic Content Recognition》（Northeastern 大学团队），12 台电视、10 个厂商、8 种操作系统、5943 次受控实验：用 Mon(IoT)r 抓全量流量，再用 HDMI 转射频调制器往天线口灌自制频道。结果是，Tizen 在用户关掉 ACR 之后，自家流媒体场景 30/30 次仍然出现与 ACR 一致的流量，天线场景 41/60，HDMI 场景 18/30；Vizio 更干脆，每次都还在连亚马逊 Kinesis 的 ACR 端点。LG、索尼、Roku、VIDAA 上，关掉是有效的。
论文作者 Ilgar Mammadov 说得很直白：加密让研究者看不到载荷内容，但”关掉之后还在发”这件事本身就够可疑；除非厂商是”传输数据只为把它扔掉”，否则用户的选择就没被尊重。三星至今没回应 Ars Technica 的置评请求。研究组同时放出了一份可屏蔽的 ACR 域名与 URL 清单。
四、零日不是唯一入口
要说”给三星电视搞 root 只有零日一条路”，那是外行话。公开的用户态路线已经不止一条。
SVE-2025-50109 是个现成例子：SDB 守护进程监听 TCP 26101，0 appinstall tpk 这条命令把包名拼进 shell 却不转义，反引号替换能拿到 uid=901(sdk)；接着借签名的 /usr/bin/dotnet 身上的 cap_setgid、cap_sys_admin 建私有 mount namespace，把自己的 key 绑到启动器 key 上，让签名启动器以 root 跑归档脚本，最后经 HMAC 通道回调，控制器只接受 uid==euid==gid==egid==0。整个链条全是用户态，不需要内核漏洞。
还有研究者 chris-ritsen 用 Codex 在 QN90B（2022 款）上花一天、QN90F（2026 年 7 月款）上花三小时跑通的路线，主机端看门狗负责每次开机重新把 root 抢回来；以及 Calif.io 今年 4 月那篇更硬核的——通过 ntksys 设备节点把物理内存映射进用户空间，改内核数据结构直接拿 root，绕开 Tizen 的未授权执行阻止（UEP）还得靠 memfd 技巧。
Tizen 电视不像手机那样有 Knox 隔离和 EL2 安全世界，推文下面的回复吐槽得很直白：”secured by knox, nope, no el2 hypervisor bullshit here.” 这是社区说法，但方向没错：一旦拿到代码执行，root 往往只差一步。
五、root 一台客厅里的电视，到底值多少钱
隐私只是其中一头。Samsung 为了 DRM 在电视里塞了专用硬件和密钥，root 之后 Netflix、HBO 这类应用的密钥就摆在明面上——这也是 Mnemonic 今年 8 月那篇研究的动机：他们 root 了一台三星电视，挖出 Bright Data 的住宅代理 SDK 藏在吃豆人这类授权游戏里，平时休眠，远程开关一拉就开始拿你家宽带当出口节点。取固件的办法是拆芯片焊 flash。
再往前一点，Samsung 应用商店在业界眼里也是个重灾区：硬编码 API key、开发证书，甚至有 AI 编程助手留下的备注，被人翻了个底朝天。
所以一台被 root 的电视，同时是隐私黑洞、DRM 盗版机和潜在的僵尸网络出口。放在客厅里，这三个属性叠一起，比”广告精准”严重得多。
六、给自家的电视做点什么
不折腾 root 也能解决大半问题：
- 设置里”支持 → 条款与隐私 → 隐私选择”关掉 ACR 和语音助手。这在 LG、索尼这些平台上实测有效。
- 论文组那份 ACR 域名与 URL 清单，直接在路由器或 DNS 层拦。
- 一定要折腾 root 的：走 Quiet Tizen 那套可回滚思路——改包管理器的 app_disable、app_onboot、app_autorestart 三个字段，用 systemd 的 stop marker 停掉指定服务，用 vconftool 改偏好，把还原脚本先存回电视再动手。项目自己也写明：三星的目录刷新会把预载和缓存偏好恢复回去，这不是永久修复。
- 开发者模式用完就关。SDB 守护进程开着，本地网里谁都能碰这台电视。
- 保持固件更新。2023 年 1 月之后上市的智能电视，三星承诺 7 年安全更新。
最后一句：给一台电视找 root 不难，难的是它一直摆在你客厅里，麦克风朝着整个家。
暂无评论内容