2026 年 8 月，北京海淀某商场的办公固话线路被人拔下来，接进一台黑色设备和一台白色路由器。接下来的半天里，这台”小黑盒”盗用商场的固话号码，向全国拨出了数百通诈骗电话。骗子全程没碰任何一部手机，没接触任何一位受害人，只动了弱电间里的一根电话线。
反诈宣传总在教我们”别接陌生来电”，反窃密检测总在盯着”有没有无线信号、房间里有没有针孔摄像头”——但很少有人回头看那根从弱电间牵到办公桌上的电话线。 而恰恰是这一段”有线”的空白，正在被两条路径同时突破：一条从弱电间的物理门进来，一条从网线上的漏洞进来，最终都汇聚在同一台话机的麦克风上。
一、两起”只动线路、不动人”的案件
先看两条真实的新闻，它们有一个共同点：攻击者全程不接触受害者本人，只接触线路。
1.1 北京海淀商场”小黑盒”案
2026 年 8 月 17 日，北京海淀警方侦破一起新型电信诈骗案，8 月 18 日央视《新闻直播间》报道了完整经过：
- 手法：嫌疑人田某假扮通信公司员工，潜入某商场的弱电间，把办公固话线路拔下，接入一台 VOIP 网关（俗称”小黑盒”）和一台白色路由器。
- 后果：境外人员远程操控这台设备，盗用商场固话号码向外拨打诈骗电话，半天之内拨出数百次。
- 处置：海淀分局反诈中心发现当天固话异常外呼后，通过 96110 电话和上门回访的方式，紧急拦截了数百个可能正在被骗的电话。
- 定性：田某受境外指使，在多城市商场、小区物色弱电箱架设设备，涉嫌帮助信息网络犯罪活动罪，被刑事拘留。
这起案子最值得咀嚼的，不是”又有人被骗了”，而是手法本身：骗子不需要给你打电话，他只需要一个能借用你单位号码的物理入口。
1.2 衡阳高校案与岳阳医院案：弱电井房，成了诈骗的”接线盒”
同样的剧本，在别处反复上演：
- 衡阳高校案（护网 2026）：珠晖公安分局在”护网 2026”专项行动巡查中发现，辖区某高校的弱电井房被私自加装 VOIP 设备，不法分子远程操控，利用校内办公固定电话向外拨打诈骗电话。该校因”未落实常态化巡查机制、关键通信区域未部署网络入侵防御和异常行为监测”，于 2026 年 8 月 3 日被依据《网络安全法》行政处罚并责令限期整改。
- 岳阳三甲医院案（2026 年 6 月）：犯罪分子潜入医院弱电井房加装 VOIP 设备，远程操控医院固话。院方同样因未履行网络安全保护义务被处罚。近两年，湖南长沙、浙江建德、陕西安康等地医院也接连曝出同类案件。
三起案子，三个不同的单位，三个相同的教训：能进弱电间的人，就能借走你的号码。
1.3 反窃密视角下，这两起案子意味着什么
警方公布这些案子的目的，是反电诈。但放在反窃密（TSCM）的视角下，它们暴露了一个更普遍的问题：
楼宇的弱电间和通信线路，长期处于”事实无人值守”状态。 反窃密检测清单里，”无线扫描””设备照检””空间排查”往往都列了，唯独”从弱电间到桌面话机”这段有线线路，是空白。
而物理入口这件事是通用的：能私接设备盗打电话的人，同样能在这根电话线上并联一个窃听器，把房间里的声音送出去。 入口一模一样，只是设备换了一个。
二、为什么线路窃听反而变宽了：从模拟话机到 VoIP
很多人以为，随着大家都用手机、微信，固定电话和”电话窃听”已经是上个时代的事了。恰恰相反——它没有消失，反而因为 VoIP 的普及和话机漏洞的公开化，变得更宽了。
2.1 一条路径的”升级”
传统上，窃听电话线路靠的是物理手段：在弱电间、分线箱、线缆桥架里搭接、并联。这需要接触线路、需要供电、需要隐蔽，门槛不低。
但 VoIP 时代带来了一件新东西：话机本身变成了一台联网的、跑着固件的、有 Web 管理界面和 SIP 协议栈的小电脑。 于是”窃听线路”这件事，多了一条完全不用碰线的路径——直接从网络打进话机。
| 维度 | 传统模拟电话 | VoIP 桌面话机 |
|---|---|---|
| 线路形态 | 纯铜线，模拟信号 | 网线 + 以太网，数字信号 |
| 窃听路径 | 只有物理搭接/并联一条 | 物理搭接 + 网络漏洞劫持两条 |
| 攻击者位置 | 必须到现场 | 可远程、可跨境 |
| 痕迹 | 会改变线路电压/阻抗 | 数字劫持几乎不留物理痕迹 |
| 可检测性 | 电气测量可发现 | 需抓包/日志才能发现 |
一句话总结：模拟时代，窃听是一场”物理渗透”；VoIP 时代，窃听同时是一场”网络攻击”。
2.2 两条路径，一个终点
把所有的攻击手法归拢起来，其实只有两条路：
- 物理盗接：从弱电间、分线箱、线缆桥架进来，在物理线路上做手脚——并联窃听器、旁路挂钩开关。对应”海淀小黑盒案”的入口。
- 数字劫持：从网线进来，利用话机漏洞或弱口令打进话机——改写 SIP 配置、植入固件后门、静默录音外传。对应后面要讲的两个 9 分漏洞。
这两条路，一条出在物理层，一条出在网络和固件层，检测手段必须分层对应，任何一层漏了，另一层就是盲区。
三、两个”9 分”话机漏洞：不碰线，也能听见你
数字劫持这条路的”弹药”，在 2026 年上半年被 Rapid7 两次集中摆上了桌面——两个针对桌面 IP 话机的未认证远程代码执行（RCE）漏洞，CVSS 评分都在 9 分以上。
3.1 CVE-2026-2329：Grandstream GXP1600 系列的未认证栈溢出
- 评分：CVSS v4 = 9.3（Critical），CWE-121 栈缓冲区溢出。
- 影响：Grandstream GXP1600 系列全线（GXP1610 / 1615 / 1620 / 1625 / 1628 / 1630），共享同一固件镜像。
- 漏洞点：话机内置的 Web API 服务里，
/cgi-bin/api.values.get端点对request参数做处理时，不校验长度就直接往一个 64 字节的栈缓冲区里写。攻击者构造超长的request参数，即可溢出并控制程序计数器（PC）。 - 攻击前提：话机默认在 TCP 80 端口开着 HTTP 服务，且该端点无需任何认证，默认配置下就能直接打。
- 后果：未认证远程代码执行，直接拿到 root 权限。
- 修复：固件 1.0.7.81 及以上。
- 利用现状：Rapid7 已经放出两个 Metasploit 模块——一个漏洞利用模块（演示拿 root、跑 Meterpreter payload），一个后渗透模块（从沦陷话机里提取本地用户凭据和 SIP 账户凭据）。
拿到话机的 root，意味着什么？意味着攻击者可以改写这台话机的 SIP 注册配置，把呼入呼出的通话信令和媒体流，透明地转发到自己的服务器上——用户拨号音正常、通话正常、屏幕正常，但通话内容被第二个人同时听着。这就是”不碰线也能窃听”的数字路径。
3.2 CVE-2026-0826：HP Poly VVX / Trio 的 ICE 解析栈溢出
- 评分：CVSS v4 = 9.2（Critical），CWE-121 栈缓冲区溢出。
- 影响：HP Poly VVX 150 / 250 / 350 / 450，以及 Trio 8800 / 8500 / 8300 会议电话。
- 漏洞点：位于固件
/user/local/root/polyapp二进制（32 位 ARM）中，负责解析 SIP 请求里 SDP 数据的ParseICECandidate函数，把a=candidate:属性用memcpy复制进一个 256 字节栈缓冲区，不检查长度。超过 256 字节就覆盖栈上的保存寄存器和返回地址。 - 攻击前提：攻击者向 UDP 5060 端口发送恶意 SIP INVITE 请求，携带超长的
a=candidate:属性即可触发。注意一个细节：这个漏洞只在话机开启了 ICE 功能时才能利用，而 ICE 默认是关闭的（需device.feature.nat.ice.enabled="1"才开启）——这既是它的利用门槛，也是很多单位容易忽略的加固点。 - 绕过细节：设备开了 ASLR，但 libc 等共享库实际加载地址固定（如 libc 固定在
0x40a5c000），攻击者可以用固定地址构造 ROP 链绕过 NX，最终拿到 root。 - 修复：VVX 升级 UCS 6.4.8；Trio 8300 升级 UCS 8.1.7；Trio 8500 / 8800 升级 UCS 7.2.8。
- 利用现状：Metasploit 已有完整利用模块，演示了未认证攻击者在 Poly VVX 450 上拿 root、反弹 shell、执行任意命令。
3.3 两个漏洞放一起看：攻击门槛在持续下降
| 项 | CVE-2026-2329 | CVE-2026-0826 |
|---|---|---|
| 厂商 | Grandstream | HP Poly |
| 评分 | CVSSv4 9.3 | CVSSv4 9.2 |
| 类型 | 未认证栈溢出（CWE-121） | 未认证栈溢出（CWE-121） |
| 攻击面 | Web API（TCP 80） | SIP/SDP 解析（UDP 5060） |
| 是否需认证 | 否 | 否 |
| 利用前提 | 默认可达 | 需开启 ICE（默认关） |
| 修复 | 1.0.7.81+ | UCS 6.4.8 / 8.1.7 / 7.2.8 |
| Metasploit | 有（exploit + 凭据提取） | 有（反弹 shell） |
Rapid7 的研究员（两篇均为 Stephen Fewer）在披露 CVE-2026-0826 时特别提了一句值得警惕的话：拿到话机 root 后静默录制下来的干净人声样本，可以直接用于 AI 声纹合成——伪造高管的声音，去做下一步的语音钓鱼（vishing）或深度伪造。也就是说，一台被攻陷的话机，不只是个窃听器，它还是一台”声纹样本采集器”。
这正好把本文和博客里聊过的 AI 语音克隆、社工话术那一整套连了起来：窃听是前端，AI 合成是后端，中间跑的是”人声数据”。
四、四类攻击路径：物理层两招，网络层两招
把上面零散的手法收敛成一张完整的攻击路径图，一共四类：
第一类：线路私接与并联窃听（物理层）
在弱电间、分线箱或线缆桥架内，把窃听设备接入电话线路。海淀案已经证明这条路径”可到达”——嫌疑人假身份进弱电间、完成接线和供电，只用很短时间。把盗打电话的 VOIP 网关换成低功耗窃听模块，就是一台长期驻守的线路窃听器。
特征：模拟线路上接入串联或并联窃听器后，线路的电压、负载电流和阻抗会产生微小偏移——这是电气测量能抓到的马脚。
第二类：挂钩开关旁路（物理层）
针对传统模拟话机。旁路话机的挂钩开关后，话机处于”挂断”状态，听筒无声、指示灯不亮，但麦克风持续拾音并送上线路。使用者以为挂了机，线路另一端却听见了房间里的所有声音。
特点：不改变线路走向，纯在话机内部动手脚，属于”最难察觉”的一类。
第三类：SIP 配置劫持（网络层）
利用话机漏洞（如 CVE-2026-2329）或弱口令登录管理界面，把话机注册的 SIP 服务器地址改指向攻击者控制的恶意代理。之后通话的信令和媒体流全部流经攻击者服务器。
特点：不留物理痕迹，话机外观、拨号音、通话体验一切正常，属于”体验无损”的窃听。
第四类：固件驻留与录音外传（网络层）
拿到话机 root 后，窃取本机凭据、部署录音程序、把通话音频打包外传；还能把话机当跳板，攻击同网段其他设备。
特点：嵌入式设备通常不装终端检测软件（EDR 装不进去），部署后常年被遗忘，适合长期潜伏。叠加 AI 声纹合成，就升级为”高管声纹采集 + 深度伪造”的高级威胁。
四类路径的共同结论：第一、二类出在物理层，第三、四类出在网络和固件层。 只做无线扫描的反窃密检测，对这四类几乎全部失效——因为它们根本不走无线。
五、怎么查：通信线路的分层检测
既然威胁分物理层、信号层、网络层，检测也得按这三层来。下面讲的，是反窃密（TSCM）领域对通信线路的标准排查思路。这里以市售专业设备 REI TALAN 3.0 电话与线路分析仪（DPA-7000） 为例说明”每一层该测什么”——它把万用表、频域反射计（FDR）、数字解调、VoIP 分析、非线性结检测（NLJD）集成到了一台机器上。
说明：TALAN 是反窃密行业的专业设备，单价不菲。普通人不需要买它，但它的检测思路——分层、建档、比对——是任何人都能借鉴的。
5.1 物理线路层：测”电”和”反射”
- 电气测量：万用表功能做电压、电流、电阻、电容四项测试。串联或并联窃听器接入后，线路的负载电流和阻抗会出现异常偏移。
- 线路比对（FDR）：频域反射技术做全走线测量，得到一条”参考迹线”。之后定期重测，和首测迹线比对——线路中途被改动、加装器件，反射波形会出现新的异常点，还能定位到具体线段。
- 非线性结检测（NLJD）：针对”在线但不开机”的设备。窃听器常处于断电待机状态，内部半导体结在探测信号激励下会产生谐波，NLJD 能发现这类”休眠”的电子器件。
操作要点：给每条涉密线路建立首测档案；自动切换矩阵测完所有线对组合；覆盖从弱电间、分线箱到桌面话机的全段。
5.2 信号音频层：测”有没有不该有的声音”
- FFT 频谱分析：正常话音线路在挂机状态下应无有效信号；若出现高频分量，可能意味着射频注入或寄生发射源。
- RF 宽带探测：专查”以电话线为天线”的射频窃听器。
- 数字解调：确认线路当前是否在传输音频，与挂机状态交叉比对。
- 挂钩开关旁路专项：话机挂断后，用高增益音频放大器监听线路音频通道——挂机状态下仍有音频电平，说明麦克风还在拾音，这是挂钩旁路攻击的直接证据。
5.3 数字网络层：测”它到底连去了哪里”
- VoIP 抓包：捕获并解码 VoIP 数据包，核查话机实际注册的 SIP 服务器地址。
- 比对原则：每台话机的注册服务器，都应指向单位在册的语音网关；注册到陌生地址，就是配置被劫持的信号。
- 固件版本核查：Grandstream GXP1600 系列 1.0.7.81 以下、HP Poly VVX 及 Trio 系列对应修复版本之前，都存在已公开漏洞——属于”见到就必须处置”的硬项，没有商量余地。
- 批量排查：把网络流量转成频谱视图，异常数据包会形成肉眼可辨的异常图案，适合一口气排查上百台话机。
5.4 交叉验证：有线、无线、空间三合一
单看线路、单看无线，都可能漏。真正的判断靠交叉比对：当线路侧发现异常、却无法确定回传通道时，启用全频段频谱分析仪做空中监测；把可疑信号的时间戳与线路异常记录交叉比对——同一时刻线侧异常、空中出现不明发射，基本可以认定是”有线进、无线出”的混合型窃听器。
配合空间排查（非线性节点探测器管墙壁里的半导体结）和近场定位（近场探测器逐步逼近锁定），一套走完，线路层、信号层、网络层三类威胁才各有结论。
六、防御清单：把”没人看管的空白段”变成受控段
技术检测是”事后发现”，下面的清单才是”事前关门”。对照你自己的办公楼，逐条打勾：
6.1 弱电间物理管控（第一道门）
- 门禁权限最小化，进出登记，定期巡检。
- 分线箱加封条，并纳入巡检打卡项。
- 海淀案的教训：嫌疑人假扮通信公司员工就能进弱电间——物理这道门，必须比”话术”先关上。 对来路不明的”通信公司检修人员”，核实身份、全程陪同。
6.2 线路与话机建档（可追溯的基础）
- 首次全量检测存参考迹线（FDR 首测档案）。
- 话机台账记录型号、固件版本、MAC 地址、注册服务器。
- 后续比对有据可依——没有基线，就没有”异常”可言。
6.3 固件与配置管理（数字层的硬动作）
- 清点全网话机型号，对照漏洞通报逐一升级（GXP1600 → 1.0.7.81+，Poly VVX/Trio → 对应 UCS 版本）。
- 关闭话机管理界面的公网访问与远程管理。
- Poly 话机如无业务需要，关闭 ICE 功能（
device.feature.nat.ice.enabled="0"），直接消除 CVE-2026-0826 的利用前提。 - SIP 服务器地址做成白名单下发，任何一台话机注册到名单外地址即告警。
6.4 涉密场所通信纪律（红线）
- 涉密会议、涉密办公场景，不使用普通固话和商用 VoIP 话机讨论涉密事项。
- 涉密通信走专线或加密终端。
- 这条红线，不因设备检测通过而放松——检测只能降低风险，不能消除”被听”的可能。
6.5 周期性专业检测（节奏）
- 线路比对建议每季度一次，涉密场所重要线路加密频次。
- 把线路检测与无线检测、设备本体检测排进同一个年度日历，形成固定节奏。
七、结语：被遗忘的，往往最危险
反诈反到今天，我们习惯了”别接陌生电话”；反窃密做到今天，我们习惯了”扫无线、照针孔”。但 2026 年这几起案子和这两个 9 分漏洞提醒我们：真正被遗忘的，往往是那根从弱电间牵出来的、最不起眼的电话线。
它不发出无线信号，所以频谱仪看不见它；它不联网推流，所以路由器里数不出它；它静静躺在弱电井房里，等着一个假扮检修工的人，或一条从网线打进来的 RCE。物理盗接从门里进来，数字劫持从漏洞里进来，最后都汇合在同一个地方——你的话机麦克风。
反窃密从来不是”买一台最贵的设备”，而是先把那根线放进你的防御地图里。给弱电间锁上门、给话机建好档、把固件升到位、把 SIP 白名单下发下去——把这段”没人看管的空白”，变成一段有记录、可对比、可追溯的受控线路。看不见的威胁不可怕，可怕的是你以为它不存在。
边界声明
本文为通信线路窃听与反窃密科普，全部案例与技术细节来自公开报道与厂商公开资料（央视《新闻直播间》、珠晖公安分局通报、Rapid7 官方博客等）。文中不提供任何窃听、偷录设备的制作或使用方法，不提供任何攻击工具的操作步骤；文中所涉漏洞均为已公开、已有官方修复的披露信息。非法生产、销售、使用窃听窃照专用器材，非法侵入计算机信息系统，帮助信息网络犯罪活动，均属违法犯罪行为。发现可疑设备或线路异常，请固定证据并报警，由执法部门依法处置，切勿自行”反制”或擅自动手。请勿尝试。
素材来源
- 央视《新闻直播间》/ DoNews / 新浪 / 湖北网：《商场座机半天被盗用数百次 警惕这类新型诈骗手段》（2026-08-18，北京海淀商场弱电间 VOIP”小黑盒”案）
- 珠晖新闻网（珠晖公安分局）：《【护网2026】珠晖警方查处一起高校未履行网络安全保护义务案件》（2026-08-28，辖区某高校弱电井房私装 VOIP 设备，2026-08-03 行政处罚）
- 网信湖南 / 腾讯新闻：《某三甲医院不履行网络安全保护义务被网信部门处罚》（2026-07，岳阳医院弱电井房加装 VOIP 设备案）
- Rapid7 官方博客《CVE-2026-2329: Critical Unauthenticated Stack Buffer Overflow in Grandstream GXP1600 VoIP Phones (FIXED)》（Stephen Fewer，2026-02-18）
- Rapid7 官方博客《CVE-2026-0826: Critical unauthenticated stack buffer overflow in HP Poly VVX and Trio VoIP Phones (FIXED)》（Stephen Fewer，2026-06-01）
- REI TALAN 3.0 电话与线路分析仪（DPA-7000）产品规格页（弘德网：集成 NLJD / FDR / 数字解调 / VoIP 分析 / 数字万用表）
- 微信公众号《新型线路窃听威胁及破解技术解读》（反窃密防泄密团队，本文选题来源）
相关文章
- 无线反侦察姊妹篇 —— 2026082408 你的车里藏着”眼睛”：电磁反侦察
- AI 声纹合成与深度伪造 —— 2026082502 当”看见”不再可信：Deepfake 技术如何攻破企业与个人防线
- 社会工程学话术模板 —— 2026081919 话术工厂：拆解诈骗话术的流水线
- 上一篇 —— 2026091101 一通没接的微信来电，就能接管你的账号
评论