随着网络技术迅速发展，各种智能终端已经进入平常百姓家， 家庭智能化程度越来越高，
智能手机、电表、电话以及电视等等，有人已经构思出未来生活的蓝图，只需一个指令，一
切皆有可能！网络电视作为智能终端的一种，经历了最初的机顶盒到了与电视一体化发展过
程。通过电视不但可以欣赏优美的电视节目，还可以逛商场、购物、玩游戏，然而当你正在
尽情享受网络技术带来的时尚与便捷时，是否会想到有人已经闯入你的智能终端，与你一样，
他也“只需一个指令，一切皆有可能”。你的电视突然黑屏、无声、关机、重启、换台等等，
你一定会认为是电视出故障了，绝不会质疑“谁在遥控我的电视？！”，然而你的质疑或许就
是真的。
网络电视又称IPTV（Interactive Personality TV），无论是使用机顶盒还是集成在电视机
内部，都是以互联网协议（TCP/IP）作为主要技术手段，有自己的开放平台和操作系
统，是一种由软件系统支持的硬件设备，因此与计算机类似地存在无法回避的安全问
题。本文通过对中兴 IPTV 机顶盒的分析，讨论 IPTV 的安全问题，希望引起从事智
能终端的厂商和技术人员的重视，否则研发出来的东西给社会带来混乱也说不定。
 第一节 中兴 B600V4机顶盒

中兴 IPTV 机顶盒目前主要有 ZXV10 B600（V4/V4A）、B700（V2/V2A），本文对
B600V4 机顶盒进行分析测试。
中兴B600V4机顶盒（以下简称“B600V4”）CPU采用 ST的 STi5202，有 128M RAM，
16M Flash，它和 STi7109 在软件上完全兼容，不同之处是 STi5202 只支持标清输出，而
STi7109 支持高清输出。ST 公司提供了开源项目 STLinux 的下载，下载连接为：
ftp://ftp.stlinux.com/pub/stlinux/2.2/iso/STLinux-2.2-sh4.iso， STLinux提供了在X86 Linux 系统
下交叉开发sh4平台软件的工具链。（详细参阅：IPTV爱好者，www.iptvfans.cn）
使用超级终端连接 B600（需要 RS232TTL 转化模块），开启机顶盒后，终端显示 B600
的启动信息，如图 1。首先我们了解 B600 启动过程：1）U-Boot 引导 BusyBox，2）解析
/etc/inittab，运行 inittab 指定的初始化脚本/etc/rc.d/rcS，3）根据 rcS 中指定的脚本文件
/cramfs/bin/start，运行机顶盒应用程序，如图2。  

机顶盒关键进程分析。首先使用命令“ps”和“netstat -antu”查看机顶盒进程和所有监
听的 tcp与udp 端口，如图3。然后使用命令“fuser  -4 8000/tcp”获得监听 8000/tcp端口的
进程PID为1049，程序为“/cramfs/bin/tr069”。类似地确定出关键进程监听的端口。

当按下机顶盒的遥控器，超级终端显示“start print”、“nano-X stbir”，telnet 机顶盒的
3465端口，超级终端显示“Send to ztebw:VPLAYER:”等字符，我们大致推测出几个关键进
程之间的联系，如图5。

当机顶盒使用PPPoE 拨号后，会获得外网IP 地址，这时机顶盒将直接暴露在网络中，
而这些关键进程几乎全部都监听“0.0.0.0”地址，这些端口给机顶盒带来严重的安全隐患。
本文就是通过端口分析进程，进而实现对机顶盒的访问与控制。
 
第二节 ELF文件与 SH 汇编
 
ELF（Executable and Linkable Format）文件是 Unix 和 Linux 系统中的可执行连接
格式，在文件头部分包含“ELF”字符。首先下载反汇编工具 IDA  pro V5.5（看雪下
载地址：http:// www.pediy.com/tools/Disassemblers/ida/IDA_Pro5.5.rar），然后获取机顶
盒/cramfs/bin （即/bin/stb）目录的应用程序，方法较多：１）在 pc （操作系统为 Windows）
上使用 Serv-U、20N-FtpServer 等软件搭建 ftp 服务器，从机顶盒 ftp 访问 pc，使用 put
命令将 ELF 文件传送到 pc 上；２）将 U 盘接到机顶盒，然后在机顶盒执行“tar -cvf