“只收听不发报就安全”这句话在无线电圈子里流传了很久不知道误导了多少人。我刚入行时也信过这个直到有一次在测试现场亲眼看到一台只接收不发射的卫星终端居然被十几米外的频谱仪锁定了确切位置原因就是星链终端本振泄露。HackRF本振泄露这个话题最近也在圈内被反复讨论究其本质是很多人没有意识到一台接收机本质上也是一台微弱的发射机。这篇文章我就把这个经典误区彻底讲透从本振泄漏的基本原理到星链终端的本振特征再到用HackRF这类SDR做接收扫描操作的具体方法一次说清。适合无线电爱好者、安全测试人员和所有对设备射频隐私感兴趣的人读内容不需要很深的前置知识但我会尽量给出可直接复现的参数和流程。1. “只收不发”不是隐身本振泄漏的基本原理很多人觉得接收机安安静静地躺在那里不按下发射键就不会产生电磁辐射这是对超外差架构最大的误解。要知道接收机不怕收不到信号就怕收到的信号区分不出来于是厂家想了个办法——先把收到的射频信号降低成一个固定频率再慢慢处理。这个“降低频率”的动作需要一个本地振荡器Local Oscillator简称LO它自己会发出一个稳定的正弦波。问题就出在这个LO上。1.1 超外差接收机为什么要“自曝”本振超外差接收机的工作逻辑很简单天线收到目标频率 (f_{RF})射频本地振荡器产生 (f_{LO})本振两个信号在混频器里相减得到中频 (f_{IF})。公式就是[ f_{IF} |f_{RF} - f_{LO}| ]举个例子星链终端接收下行信号在 11.325GHz 附近如果终端内部的中频设计在 950MHz那么本振频率就是 (11.325 - 0.950 10.375GHz)。这个本振频率虽然不在天线“设计的工作频段”内但电子线路不可能做到完美的隔离——本振信号会从混频器的本振端口向射频端口反向渗透然后顺着天线内部馈线一直传到天线辐射面最终向外辐射出去。这就是标题里说的“本振泄露”。拿生活里的场景类比就像你在房间里拉上了窗帘只接收不发射但窗帘缝里还是漏出灯光本振信号外面的人远远一看就知道房间里有人。接收机的“接收”行为本身就是一种可以被探测的“发射”。1.2 本振频率怎么算一个公式看清监测逻辑从监测方的视角看只要知道你终端接收哪个频率本振频率基本就是公开的可推算值。因为终端厂商为了省成本中频频率往往取值固定比如 950MHz 到 2150MHz 是卫星通信中非常通用的 LNB 中频区间。那么反过来如果我扫到一个未知的窄带信号猜测它是一个本振泄漏就可以通过 (f_{LO} f_{RF} - f_{IF}) 反推这台接收机在接收什么频率。这里要补充一个关键点直接辐射出来的本振信号通常比较微弱功率水平往往在 -80dBm 到 -40dBm 之间几十米内是监测的典型距离。实际扫频时你更常遇到的是本振信号的谐波——也就是本振频率的整数倍比如 (2f_{LO})、(3f_{LO})。谐波在某些频段可能比基波还容易被发现因为基波被终端外壳、天线罩或者线路设计抑制得比较好而谐波往往从电源线、屏蔽不良的缝隙里二次漏出来。HackRF 的本振泄露正好契合这个主题。HackRF One 是零中频架构它的本振频率直接等于接收频率也就是说你拿着 HackRF 监听某个频点的时候它会以这个频点向外辐射微弱的信号。这在射频测试里有个专门的说法叫“天线口反向辐射”用来校准设备时经常需要加衰减器和隔离器否则你测到的“环境信号”可能只是你自己的测试仪器在自娱自乐。1.3 顺带科普HackRF自己也会漏既然题目里提到了 HackRF 本振泄露这里多说几句。HackRF 这类正交采样 SDR软件无线电用的是直接变频方案本振由内部 PLL锁相环产生经过分路器分别送入 I/Q 两路混频器。分路器和混频器之间的隔离度再好也就是 40dB 到 60dB 的水平。如果你用高增益天线对着 HackRF 的 SMA 口再开一个低噪声放大器在几十厘米到几米内真的能收到它“工作频点”上的微弱信号。我第一次发现这一点是在对比测试时用另一台频谱仪看 HackRF 的带外杂散。结果频谱仪在目标频点上看到了一个频率完全稳定、带宽极窄的载波把天线先后靠近、远离信号强度明显变化。当时第一反应是环境里有辐射源后来用电池供电并且完全断开天线输入才确认那是 HackRF 自己本振从天线口漏出去的。从那以后我在做任何高灵敏度测量前都会先把接收机天线断开测一遍底噪避免把“本底辐射”当“目标信号”。2. 星链终端的本振特征为什么它是“显眼包”星链终端用户平板天线在射频频谱里非常容易辨识因为它有几个先天的“显眼”属性天线面积大相控阵单元多内部下变频链路复杂而且外壳为了透波往往采用介电常数很低的塑料材料。这些因素叠加起来让它的本振泄漏比一般的手持电台、路由器要明显得多。2.1 星链终端结构与本振所在位置星链终端的核心是一个平板相控阵天线接收卫星下行信号并把高频率的 Ku 波段信号在终端内部直接下变频到较低的中频再通过射频线缆传给 Wi-Fi 路由模块。拆过机就知道整个终端里有完整的射频前端链路低噪放LNA、混频器、本振PLL、中频滤波器。本振PLL 和混频器的位置通常在主板朝向天线面板的那一面离天线馈电点非常近。这就带来一个工程上的尴尬天线面板是理想的本振泄漏“发射天线”。本振信号通过走线、焊盘、IC引脚的寄生耦合进入天线馈线然后由天线辐射面向外辐射。它不是设计用来发射的但相控阵天线有几十甚至上百个阵元哪怕每个阵元只漏一点点功率整个天线阵面综合起来泄漏信号也会被“阵列增益”放大一些。实际测试中在距离终端 3~5 米的范围内用 5~6GHz 对数周期天线配合低噪放完全能扫到稳定的窄带载波。2.2 泄漏信号长什么样频率、带宽与时间特征从频谱上看星链终端本振泄漏有几个典型特征频率稳定度极高PLL 一旦锁定在几十分钟内漂移一般不超过几 kHz普通晶振环境下。你看到的频谱会是一个像针一样的窄带载波带宽通常窄于 5kHz偶尔伴随小幅度的频率牵引。与业务活动有时间耦合终端刚通电时会短暂调整本振锁频泄漏信号频率会有几 kHz 的快速摆动随后稳定。当终端开始高速下载数据时电源负载变化可能导致本振频率出现微小的抖动幅度很小需要高分辨率 FFT 才能观察。可能出现谐波群基波之外(2f_{LO})、(3f_{LO})、甚至本振与接收信号的混频产物都可能出现在频谱上。这意味着你用 6GHz 上限的 HackRF 直接扫 Ku 波段本振基波是不可能的但完全可能扫到它的低阶谐波落在 4GHz 到 6GHz 的可接收范围内。业余条件下观察本振特征最佳办法不是直接扑向 10GHz 以上频段而是先扫 1.7GHz 到 6GHz这片区域里专找“频率稳定、带宽窄、开机关机消失”的候选信号。2.3 扫星链本振的现实困难与对策困难很现实星链终端工作时通常放在室外或者窗边周围环境电磁背景复杂。5GHz 频段有 Wi-Fi 扩展、无线图传、微波链路2.4GHz 更是拥挤不堪。要在海量宽带信号里找到一根“细针”关键是用好三个维度——频率稳定性、带宽、时间耦合。我的做法是先记录候选信号然后让用户给终端断电重启。如果候选信号出现在通电后的 5 秒内并且在断电后消失那么它和终端一定存在直接物理关系。这个操作在安全测试里叫做“控制变量法”也是排查本振信号最可靠的手段比用频谱仪自带标记功能一个个猜要高效得多。3. HackRF接收扫描实操从频段规划到信号确认大部分人对接收扫描第一反应是“拿 SDR 随便扫扫”实际操作过的都知道随便扫等于白扫。你没规划好频段、宽带、增益最终屏幕上一堆信号一个都确认不了。下面这套流程是我自己反复调整后沉淀下来的值得直接抄作业。3.1 设备准备和频率扫描方案扫描星链终端本振泄漏核心组合如下接收机HackRF One最好带 TCXO也就是温补晶振版本频率范围 1MHz~6GHz足以覆盖目标谐波区域。天线700MHz~6GHz 对数周期天线或宽带全向天线。强烈推荐对数周期原因是方向性好可以对着疑似方向逐角度排查能顺带做粗测向。低噪声放大器LNA如果条件允许在 HackRF 前加一个 20dB 左右增益的低噪放但要注意总增益不能太高否则 HackRF 前端容易饱和。电脑软件GQRX 或者 SDR# 做交互查看hackrf_sweep 做宽频快速扫描。方案上优先做两轮扫描。第一轮是宽扫摸底覆盖 1.7GHz 到 6GHz把整个区域内“看起来像窄带”的信号全部标记出来。第二轮是窄扫确认对每一个候选频点做 10~50kHz 范围的高分辨率 FFT并配合终端断电验证。3.2 hackrf_sweep 扫频命令实战hackrf_sweep 是 HackRF 工具包自带的命令行扫频工具输出二进制数据可以配合脚本解析。我最常用的是下面这条命令hackrf_sweep -f 1700:6000 -w 20000 -l 8 -g 20 -B 10000 -F 0参数含义说明一下-f 1700:6000扫频范围从 1700MHz 到 6000MHz。-w 20000每次窄带扫描的射频带宽 20MHz也就是每个频率块的宽度。-l 8LNA 增益 8dB不宜过大防止过载。-g 20VGA 增益 20dB配合低噪放使用时要根据画面微调。-B 10000视频带宽 10kHz用来平滑频谱曲线。-F 0关闭软件干扰抑制滤波器避免算法吃掉窄带信号。整段扫完大概需要几分钟输出的是一个带时间戳的三元组数据起始频率、步进频率、信号功率适合丢进 Python 里画热力图。我个人习惯先扫全频段存成 CSV然后用一个简单脚本把“在一段时间内功率均值高于底噪 10dB 以上且频率稳定”的频点自动标记出来效率远高于肉眼看瀑布图。3.3 发现候选信号后的验证流程一旦出现候选信号按顺序执行下面的验证步骤顺序不能乱用定向天线对准终端方向转动天线看信号功率是否随方向明显变化。如果变化超过 6dB说明信号来自某个特定方向的集中辐射源。将天线靠近终端注意不是指着终端而是靠近终端外壳四周看信号是否增强。本振泄漏通常从面板或线缆接口处漏出靠近后幅度应该有明显提升。对终端断电观察候选信号是否在数秒内消失。如果消失基本可以认定该信号与终端供电/电路状态强相关。重新通电同时保持频谱仪持续记录观察载波重新出现的时刻和频率稳定过程。这个动作既能复现也能记录它的“射频指纹”。我发现真正做到第 3 步的人少之又少。很多人扫到一根峰值就兴奋结果验证时才发现是隔壁路由器的信号或者楼顶的微波天线。断电复现是筛选工具里最朴实但最可靠的一招。3.4 信号测向与位置粗略判断确定候选信号后如果还想判断信号具体来自哪个位置可以做一个简易测向在固定半径比如 3~5 米内每隔 30 度测一次信号强度画出方向图指向最大值的角度就是目标大致方向。再换一个测试方位点重复一次两次测向线的交点就是目标终端的位置。当然这个误差会比较大主要受多径和极化影响。但作为一个只靠 SDR 和个人经验来做的“侦察式扫描”已经足够用了。更精确的定位需要多站点时差定位那种方案执行门槛较高一般城市电磁环境测试中很少用到这里不做展开。4. 扫描过程中的信号识别与抗误判本振泄漏的窄带特征让人想起“针尖藏针”难的不是看见信号而是证明它就是终端本振。这个过程很容易被环境信号欺骗我踩过的坑不少挑几个典型的说。4.1 本振泄漏与真实通信信号的特征对比从频谱观感上本振泄漏和真实通信信号有明显区别我会用一张表来做快速区分特征维度本振泄漏信号真实通信信号带宽极窄通常小于 5kHz看起来像一根针较宽几 kHz 到几十 MHz 不等调制特征纯载波无额外调制边带有明显的调制边带、突发或数据跳变频率稳定性非常稳定长期漂移以 kHz 计随载波频率偏移、多普勒等因素变化功率波动变化较慢偶有轻微起伏随业务流量和数据突发大幅起伏与设备开关机关联强相关断电立即消失弱相关通常来自外部环境这里最需要警惕的现象叫“本振与通信信号频率重合”。在某些中频设计下本振频率可能恰好落在某个公共通信号段。比如 5GHz 的 Wi-Fi 频段和部分微波点对点链路很容易干扰判断。这时候不要只看频谱要用相噪和稳定度来区分。通信信号通常有调制FFT 后能看到频谱宽度在高分辨率情况下变宽本振信号则是“全副精力放在一个点上”安定得像钉子。4.2 常见误判微波炉、雷达、5G扫频扫多了你会发现2.45GHz 附近的微波炉辐射和本振泄漏在带宽上有一点点相似但微波炉信号是频繁开关、有规律的间歇性干扰开机时带宽可达几十 MHz很容易区分。真正的坑在 3.5GHz、4.8GHz 这些 5G 通信频段宽带信号里的窄带子载波有时候看起来像是一根细线但它们往往随时间有跳变而本振泄漏不存在跳频逻辑。避坑心得之一保留好每一轮扫描的时间线和功率记录。多数误判通过“时间上是否持续稳定”就能排除。环境信号会有人走路、飞行器移动、基站调度等造成的随机波动本振泄漏则像一块老手表稳定到让你怀疑它是不是坏了。4.3 用时间耦合和极化旋向做二次确认时间耦合是我最推荐的二次确认方法操作逻辑很简单记录终端联网下载大文件时本振信号是否有微小频率牵引或电平变化。若信号随业务负载呈现弱相关变化就能进一步排除固定广播电台等和终端无关的干扰源。极化也可以用来做粗筛。大多数泄漏信号经过天线面板和外壳传播极化方向可能已经发生旋转和原发射极化不完全一致。你可以同时准备一个垂直极化天线和一个水平极化天线分别测量候选信号的强度看两个极化方向的接收功率差。如果某个信号在两种极化下都能收到且差值较小说明它经历了复杂的腔体泄漏路径通常更接近本振泄漏。5. 常见问题与排查实录实际做接收扫描的人最容易卡住的不是原理而是设备层面各种阴晴不定的表现。下面是我在多次实操中遇到的典型问题和对应解决办法可以直接当速查手册用。5.1 HackRF频率不准怎么办HackRF 默认晶振频率误差可能到 ±20ppm。这个误差在 6GHz 频段意味着最大偏差可能到 120kHz足以让你在窄带信号确认时找错频率。两个办法换 TCXO 版本的 HackRF精度一般能到 ±2ppm 以内。用已知的强信号源校准比如本地的 FM 广播比如 104.5MHz 之类的公共广播频率或者 GPS 卫星信号。在 SDR 里测出已知频点的测量偏差记下偏移量然后对扫描目标频段做同样的修正。我没有单独买 GPSDO 这样的高精度基准源前都是用基站下行信号或 FM 广播来矫正。实际发现在 2.4GHz 到 5GHz 之间只要偏差修正在 20kHz 以内已经足够稳定锁定一个窄带本振载波了。5.2 扫不到星链本振的六个原因有时候你把设备都搭好了屏幕上就是一片寂静这通常不是没有辐射而是下面六个原因之一天线极化不匹配星链终端天线阵元极化方式复杂本振泄漏的极化方向难以预估建议先试垂直和水平两个极化再试斜 45 度极化。距离太远本振泄漏功率非常低超出 20~30 米基本信号淹没在底噪里。把天线尽量靠近终端外壳或底座距离拉开后信号未必能观测。增益叠加过高导致过载HackRF 前端本来就不是高动态范围LNA高增益 VGA 很容易把底噪抬高反而掩盖了窄带信号。其实这时候应该减少增益让波形更干净。扫描步进过大如果你用很宽的 FFT span 和较大的 RBW窄带载波会被“稀释”到和底噪差不多看不见。要切到窄带高分辨率模式RBW 1kHz 以下。终端的电源管理策略部分终端在空闲模式下会关闭部分射频链路本振可能不工作或频率发生偏移。先触发一段下载流量让射频链路保持激活容易看到本振的活动。频谱窗口有强干扰带比如附近有微波点对点链路或警察、航空通信等强信号通过自动增益控制把整个频谱的底噪抬高从而掩盖微弱信号。这种场景要用窄带滤波器或换一个安静的监测位置。5.3 避坑清单与参数速查最后整理一份我手头常用的参数参考环境和设备不同会有浮动但能提供一个稳妥的起点参数建议值说明扫描频段1700MHz~6000MHz对 Ku 波段星链终端本振低阶谐波有较高覆盖概率扫描步进不超过 100kHz太粗会漏掉窄带载波FFT 点数1024 以上分辨率带宽太宽无法识别窄带LNA 增益8~14dB尽量小防止过载VGA 增益15~25dB根据频谱图实时调节最低信号确认阈值底噪以上 10dB低于 10dB 容易受随机噪声干扰断电复现次数至少 3 次重复出现才能确认与终端强相关还有一个常被忽略的细节HackRF 和电脑之间的 USB 线材质量很重要。劣质线缆在 4GHz 以上频段会有严重辐射干扰直接影响低噪声接收效果。短、粗、带屏蔽的 USB 线优先电源尽量用独立供电而不是笔记本单口供电。6. 防御视角把“漏”变成“懂”讲完了怎么发现本振泄漏再把镜头反转过来站在设备和终端使用者的角度看这件事。既然接收机一定会“漏”那怎么把暴露降到最低这才是做扫描测试之后最有价值的收获。6.1 针对本振泄漏的防护思路从工程上抑制本振泄漏核心原则是增加本振信号到天线之间的隔离路径常见手段包括天线口加带通滤波器直接在射频端把本振频率滤掉这是最直接的做法。不过对于已经做成一体的相控阵终端用户没法自己改硬件只能靠厂家设计阶段选用高隔离度混频器和良好屏蔽来压制。终端摆放位置调整。如果你是担心个人设备暴露尽量把终端放在远离窗户和人行通道的位置或者放在阳台内侧增加泄漏信号被室外监测到的衰减路径。使用屏蔽帘或屏蔽窗膜这些对特定频段电磁波有一定吸收作用但因为会同时削弱终端接收的卫星信号需要权衡。另外一个现实是本振泄漏的实际功率非常低通常不超过几十微瓦级别绝大多数场景里只能对 20 米内的专业接收机构成有意义的探测价值。并不是说随便一个人拿手机就能定位你需要知识、设备和靠近三个条件同时具备。所以不必妖魔化但从个人安全意识上知道这个机制就能理解射频世界里没有绝对的“被动”。6.2 从“抓特务”的梗到射频指纹识别最后再聊聊标题里的“抓特务”这个梗。其实在无线电爱好者和安全从业者圈子里这个说法早就是调侃了这里的“特务”指的是“潜在的辐射源”而不是真正的什么特定人群。任何设备只要通电运行就有射频特征本振泄漏是其中最有辨识度的一种因为它是设备“身份”的一部分。不同的晶振频率、PLL 环路带宽、电路板走线布局都会让泄漏信号带上细微差异这就形成了射频指纹。更进一步说同样的星链终端不同批次的本振频率偏移和杂散模式都略有不同这种差异甚至可以用于设备识别。做完一轮扫描测试后我对这件事最大的体会是设备并不比人诚实多少它总在悄悄地泄露自己的状态、身份和位置。拿 HackRF 接收星链终端的本振信号本质上是替设备“听”了一遍它自己无意中说的真话。对我们每个人来说理解这一点不单是为了掌握一项技术操作更是为了建立一种“射频空间里没有绝对隐私”的基本判断。但说到最后我还是想强调一个观念变化不要一上来就想着追踪什么目标设备而是先把自己的设备和测量环境搞清楚。我在几次实践里最大的收获不是定位到了多少信号而是养成了一个习惯——无论用什么接收机做测试都会先检查仪器自身的本振泄漏。这个习惯帮我免掉了一堆“信号明明存在却找不到发射源”的无效排查。如果你准备开始做类似的扫描实验我建议你第一步也是折腾自己的 HackRF看看它的本振泄漏在近距离能被你的天线扫到多强。只有先认识了自己仪器的那份“不诚实”你才有资格在这片电磁空间里去分辨、去确认那些更隐蔽的“实话”。
本振泄露与射频隐形悖论：用HackRF扫描星链终端的SDR监测实战
“只收听不发报就安全”这句话在无线电圈子里流传了很久不知道误导了多少人。我刚入行时也信过这个直到有一次在测试现场亲眼看到一台只接收不发射的卫星终端居然被十几米外的频谱仪锁定了确切位置原因就是星链终端本振泄露。HackRF本振泄露这个话题最近也在圈内被反复讨论究其本质是很多人没有意识到一台接收机本质上也是一台微弱的发射机。这篇文章我就把这个经典误区彻底讲透从本振泄漏的基本原理到星链终端的本振特征再到用HackRF这类SDR做接收扫描操作的具体方法一次说清。适合无线电爱好者、安全测试人员和所有对设备射频隐私感兴趣的人读内容不需要很深的前置知识但我会尽量给出可直接复现的参数和流程。1. “只收不发”不是隐身本振泄漏的基本原理很多人觉得接收机安安静静地躺在那里不按下发射键就不会产生电磁辐射这是对超外差架构最大的误解。要知道接收机不怕收不到信号就怕收到的信号区分不出来于是厂家想了个办法——先把收到的射频信号降低成一个固定频率再慢慢处理。这个“降低频率”的动作需要一个本地振荡器Local Oscillator简称LO它自己会发出一个稳定的正弦波。问题就出在这个LO上。1.1 超外差接收机为什么要“自曝”本振超外差接收机的工作逻辑很简单天线收到目标频率 (f_{RF})射频本地振荡器产生 (f_{LO})本振两个信号在混频器里相减得到中频 (f_{IF})。公式就是[ f_{IF} |f_{RF} - f_{LO}| ]举个例子星链终端接收下行信号在 11.325GHz 附近如果终端内部的中频设计在 950MHz那么本振频率就是 (11.325 - 0.950 10.375GHz)。这个本振频率虽然不在天线“设计的工作频段”内但电子线路不可能做到完美的隔离——本振信号会从混频器的本振端口向射频端口反向渗透然后顺着天线内部馈线一直传到天线辐射面最终向外辐射出去。这就是标题里说的“本振泄露”。拿生活里的场景类比就像你在房间里拉上了窗帘只接收不发射但窗帘缝里还是漏出灯光本振信号外面的人远远一看就知道房间里有人。接收机的“接收”行为本身就是一种可以被探测的“发射”。1.2 本振频率怎么算一个公式看清监测逻辑从监测方的视角看只要知道你终端接收哪个频率本振频率基本就是公开的可推算值。因为终端厂商为了省成本中频频率往往取值固定比如 950MHz 到 2150MHz 是卫星通信中非常通用的 LNB 中频区间。那么反过来如果我扫到一个未知的窄带信号猜测它是一个本振泄漏就可以通过 (f_{LO} f_{RF} - f_{IF}) 反推这台接收机在接收什么频率。这里要补充一个关键点直接辐射出来的本振信号通常比较微弱功率水平往往在 -80dBm 到 -40dBm 之间几十米内是监测的典型距离。实际扫频时你更常遇到的是本振信号的谐波——也就是本振频率的整数倍比如 (2f_{LO})、(3f_{LO})。谐波在某些频段可能比基波还容易被发现因为基波被终端外壳、天线罩或者线路设计抑制得比较好而谐波往往从电源线、屏蔽不良的缝隙里二次漏出来。HackRF 的本振泄露正好契合这个主题。HackRF One 是零中频架构它的本振频率直接等于接收频率也就是说你拿着 HackRF 监听某个频点的时候它会以这个频点向外辐射微弱的信号。这在射频测试里有个专门的说法叫“天线口反向辐射”用来校准设备时经常需要加衰减器和隔离器否则你测到的“环境信号”可能只是你自己的测试仪器在自娱自乐。1.3 顺带科普HackRF自己也会漏既然题目里提到了 HackRF 本振泄露这里多说几句。HackRF 这类正交采样 SDR软件无线电用的是直接变频方案本振由内部 PLL锁相环产生经过分路器分别送入 I/Q 两路混频器。分路器和混频器之间的隔离度再好也就是 40dB 到 60dB 的水平。如果你用高增益天线对着 HackRF 的 SMA 口再开一个低噪声放大器在几十厘米到几米内真的能收到它“工作频点”上的微弱信号。我第一次发现这一点是在对比测试时用另一台频谱仪看 HackRF 的带外杂散。结果频谱仪在目标频点上看到了一个频率完全稳定、带宽极窄的载波把天线先后靠近、远离信号强度明显变化。当时第一反应是环境里有辐射源后来用电池供电并且完全断开天线输入才确认那是 HackRF 自己本振从天线口漏出去的。从那以后我在做任何高灵敏度测量前都会先把接收机天线断开测一遍底噪避免把“本底辐射”当“目标信号”。2. 星链终端的本振特征为什么它是“显眼包”星链终端用户平板天线在射频频谱里非常容易辨识因为它有几个先天的“显眼”属性天线面积大相控阵单元多内部下变频链路复杂而且外壳为了透波往往采用介电常数很低的塑料材料。这些因素叠加起来让它的本振泄漏比一般的手持电台、路由器要明显得多。2.1 星链终端结构与本振所在位置星链终端的核心是一个平板相控阵天线接收卫星下行信号并把高频率的 Ku 波段信号在终端内部直接下变频到较低的中频再通过射频线缆传给 Wi-Fi 路由模块。拆过机就知道整个终端里有完整的射频前端链路低噪放LNA、混频器、本振PLL、中频滤波器。本振PLL 和混频器的位置通常在主板朝向天线面板的那一面离天线馈电点非常近。这就带来一个工程上的尴尬天线面板是理想的本振泄漏“发射天线”。本振信号通过走线、焊盘、IC引脚的寄生耦合进入天线馈线然后由天线辐射面向外辐射。它不是设计用来发射的但相控阵天线有几十甚至上百个阵元哪怕每个阵元只漏一点点功率整个天线阵面综合起来泄漏信号也会被“阵列增益”放大一些。实际测试中在距离终端 3~5 米的范围内用 5~6GHz 对数周期天线配合低噪放完全能扫到稳定的窄带载波。2.2 泄漏信号长什么样频率、带宽与时间特征从频谱上看星链终端本振泄漏有几个典型特征频率稳定度极高PLL 一旦锁定在几十分钟内漂移一般不超过几 kHz普通晶振环境下。你看到的频谱会是一个像针一样的窄带载波带宽通常窄于 5kHz偶尔伴随小幅度的频率牵引。与业务活动有时间耦合终端刚通电时会短暂调整本振锁频泄漏信号频率会有几 kHz 的快速摆动随后稳定。当终端开始高速下载数据时电源负载变化可能导致本振频率出现微小的抖动幅度很小需要高分辨率 FFT 才能观察。可能出现谐波群基波之外(2f_{LO})、(3f_{LO})、甚至本振与接收信号的混频产物都可能出现在频谱上。这意味着你用 6GHz 上限的 HackRF 直接扫 Ku 波段本振基波是不可能的但完全可能扫到它的低阶谐波落在 4GHz 到 6GHz 的可接收范围内。业余条件下观察本振特征最佳办法不是直接扑向 10GHz 以上频段而是先扫 1.7GHz 到 6GHz这片区域里专找“频率稳定、带宽窄、开机关机消失”的候选信号。2.3 扫星链本振的现实困难与对策困难很现实星链终端工作时通常放在室外或者窗边周围环境电磁背景复杂。5GHz 频段有 Wi-Fi 扩展、无线图传、微波链路2.4GHz 更是拥挤不堪。要在海量宽带信号里找到一根“细针”关键是用好三个维度——频率稳定性、带宽、时间耦合。我的做法是先记录候选信号然后让用户给终端断电重启。如果候选信号出现在通电后的 5 秒内并且在断电后消失那么它和终端一定存在直接物理关系。这个操作在安全测试里叫做“控制变量法”也是排查本振信号最可靠的手段比用频谱仪自带标记功能一个个猜要高效得多。3. HackRF接收扫描实操从频段规划到信号确认大部分人对接收扫描第一反应是“拿 SDR 随便扫扫”实际操作过的都知道随便扫等于白扫。你没规划好频段、宽带、增益最终屏幕上一堆信号一个都确认不了。下面这套流程是我自己反复调整后沉淀下来的值得直接抄作业。3.1 设备准备和频率扫描方案扫描星链终端本振泄漏核心组合如下接收机HackRF One最好带 TCXO也就是温补晶振版本频率范围 1MHz~6GHz足以覆盖目标谐波区域。天线700MHz~6GHz 对数周期天线或宽带全向天线。强烈推荐对数周期原因是方向性好可以对着疑似方向逐角度排查能顺带做粗测向。低噪声放大器LNA如果条件允许在 HackRF 前加一个 20dB 左右增益的低噪放但要注意总增益不能太高否则 HackRF 前端容易饱和。电脑软件GQRX 或者 SDR# 做交互查看hackrf_sweep 做宽频快速扫描。方案上优先做两轮扫描。第一轮是宽扫摸底覆盖 1.7GHz 到 6GHz把整个区域内“看起来像窄带”的信号全部标记出来。第二轮是窄扫确认对每一个候选频点做 10~50kHz 范围的高分辨率 FFT并配合终端断电验证。3.2 hackrf_sweep 扫频命令实战hackrf_sweep 是 HackRF 工具包自带的命令行扫频工具输出二进制数据可以配合脚本解析。我最常用的是下面这条命令hackrf_sweep -f 1700:6000 -w 20000 -l 8 -g 20 -B 10000 -F 0参数含义说明一下-f 1700:6000扫频范围从 1700MHz 到 6000MHz。-w 20000每次窄带扫描的射频带宽 20MHz也就是每个频率块的宽度。-l 8LNA 增益 8dB不宜过大防止过载。-g 20VGA 增益 20dB配合低噪放使用时要根据画面微调。-B 10000视频带宽 10kHz用来平滑频谱曲线。-F 0关闭软件干扰抑制滤波器避免算法吃掉窄带信号。整段扫完大概需要几分钟输出的是一个带时间戳的三元组数据起始频率、步进频率、信号功率适合丢进 Python 里画热力图。我个人习惯先扫全频段存成 CSV然后用一个简单脚本把“在一段时间内功率均值高于底噪 10dB 以上且频率稳定”的频点自动标记出来效率远高于肉眼看瀑布图。3.3 发现候选信号后的验证流程一旦出现候选信号按顺序执行下面的验证步骤顺序不能乱用定向天线对准终端方向转动天线看信号功率是否随方向明显变化。如果变化超过 6dB说明信号来自某个特定方向的集中辐射源。将天线靠近终端注意不是指着终端而是靠近终端外壳四周看信号是否增强。本振泄漏通常从面板或线缆接口处漏出靠近后幅度应该有明显提升。对终端断电观察候选信号是否在数秒内消失。如果消失基本可以认定该信号与终端供电/电路状态强相关。重新通电同时保持频谱仪持续记录观察载波重新出现的时刻和频率稳定过程。这个动作既能复现也能记录它的“射频指纹”。我发现真正做到第 3 步的人少之又少。很多人扫到一根峰值就兴奋结果验证时才发现是隔壁路由器的信号或者楼顶的微波天线。断电复现是筛选工具里最朴实但最可靠的一招。3.4 信号测向与位置粗略判断确定候选信号后如果还想判断信号具体来自哪个位置可以做一个简易测向在固定半径比如 3~5 米内每隔 30 度测一次信号强度画出方向图指向最大值的角度就是目标大致方向。再换一个测试方位点重复一次两次测向线的交点就是目标终端的位置。当然这个误差会比较大主要受多径和极化影响。但作为一个只靠 SDR 和个人经验来做的“侦察式扫描”已经足够用了。更精确的定位需要多站点时差定位那种方案执行门槛较高一般城市电磁环境测试中很少用到这里不做展开。4. 扫描过程中的信号识别与抗误判本振泄漏的窄带特征让人想起“针尖藏针”难的不是看见信号而是证明它就是终端本振。这个过程很容易被环境信号欺骗我踩过的坑不少挑几个典型的说。4.1 本振泄漏与真实通信信号的特征对比从频谱观感上本振泄漏和真实通信信号有明显区别我会用一张表来做快速区分特征维度本振泄漏信号真实通信信号带宽极窄通常小于 5kHz看起来像一根针较宽几 kHz 到几十 MHz 不等调制特征纯载波无额外调制边带有明显的调制边带、突发或数据跳变频率稳定性非常稳定长期漂移以 kHz 计随载波频率偏移、多普勒等因素变化功率波动变化较慢偶有轻微起伏随业务流量和数据突发大幅起伏与设备开关机关联强相关断电立即消失弱相关通常来自外部环境这里最需要警惕的现象叫“本振与通信信号频率重合”。在某些中频设计下本振频率可能恰好落在某个公共通信号段。比如 5GHz 的 Wi-Fi 频段和部分微波点对点链路很容易干扰判断。这时候不要只看频谱要用相噪和稳定度来区分。通信信号通常有调制FFT 后能看到频谱宽度在高分辨率情况下变宽本振信号则是“全副精力放在一个点上”安定得像钉子。4.2 常见误判微波炉、雷达、5G扫频扫多了你会发现2.45GHz 附近的微波炉辐射和本振泄漏在带宽上有一点点相似但微波炉信号是频繁开关、有规律的间歇性干扰开机时带宽可达几十 MHz很容易区分。真正的坑在 3.5GHz、4.8GHz 这些 5G 通信频段宽带信号里的窄带子载波有时候看起来像是一根细线但它们往往随时间有跳变而本振泄漏不存在跳频逻辑。避坑心得之一保留好每一轮扫描的时间线和功率记录。多数误判通过“时间上是否持续稳定”就能排除。环境信号会有人走路、飞行器移动、基站调度等造成的随机波动本振泄漏则像一块老手表稳定到让你怀疑它是不是坏了。4.3 用时间耦合和极化旋向做二次确认时间耦合是我最推荐的二次确认方法操作逻辑很简单记录终端联网下载大文件时本振信号是否有微小频率牵引或电平变化。若信号随业务负载呈现弱相关变化就能进一步排除固定广播电台等和终端无关的干扰源。极化也可以用来做粗筛。大多数泄漏信号经过天线面板和外壳传播极化方向可能已经发生旋转和原发射极化不完全一致。你可以同时准备一个垂直极化天线和一个水平极化天线分别测量候选信号的强度看两个极化方向的接收功率差。如果某个信号在两种极化下都能收到且差值较小说明它经历了复杂的腔体泄漏路径通常更接近本振泄漏。5. 常见问题与排查实录实际做接收扫描的人最容易卡住的不是原理而是设备层面各种阴晴不定的表现。下面是我在多次实操中遇到的典型问题和对应解决办法可以直接当速查手册用。5.1 HackRF频率不准怎么办HackRF 默认晶振频率误差可能到 ±20ppm。这个误差在 6GHz 频段意味着最大偏差可能到 120kHz足以让你在窄带信号确认时找错频率。两个办法换 TCXO 版本的 HackRF精度一般能到 ±2ppm 以内。用已知的强信号源校准比如本地的 FM 广播比如 104.5MHz 之类的公共广播频率或者 GPS 卫星信号。在 SDR 里测出已知频点的测量偏差记下偏移量然后对扫描目标频段做同样的修正。我没有单独买 GPSDO 这样的高精度基准源前都是用基站下行信号或 FM 广播来矫正。实际发现在 2.4GHz 到 5GHz 之间只要偏差修正在 20kHz 以内已经足够稳定锁定一个窄带本振载波了。5.2 扫不到星链本振的六个原因有时候你把设备都搭好了屏幕上就是一片寂静这通常不是没有辐射而是下面六个原因之一天线极化不匹配星链终端天线阵元极化方式复杂本振泄漏的极化方向难以预估建议先试垂直和水平两个极化再试斜 45 度极化。距离太远本振泄漏功率非常低超出 20~30 米基本信号淹没在底噪里。把天线尽量靠近终端外壳或底座距离拉开后信号未必能观测。增益叠加过高导致过载HackRF 前端本来就不是高动态范围LNA高增益 VGA 很容易把底噪抬高反而掩盖了窄带信号。其实这时候应该减少增益让波形更干净。扫描步进过大如果你用很宽的 FFT span 和较大的 RBW窄带载波会被“稀释”到和底噪差不多看不见。要切到窄带高分辨率模式RBW 1kHz 以下。终端的电源管理策略部分终端在空闲模式下会关闭部分射频链路本振可能不工作或频率发生偏移。先触发一段下载流量让射频链路保持激活容易看到本振的活动。频谱窗口有强干扰带比如附近有微波点对点链路或警察、航空通信等强信号通过自动增益控制把整个频谱的底噪抬高从而掩盖微弱信号。这种场景要用窄带滤波器或换一个安静的监测位置。5.3 避坑清单与参数速查最后整理一份我手头常用的参数参考环境和设备不同会有浮动但能提供一个稳妥的起点参数建议值说明扫描频段1700MHz~6000MHz对 Ku 波段星链终端本振低阶谐波有较高覆盖概率扫描步进不超过 100kHz太粗会漏掉窄带载波FFT 点数1024 以上分辨率带宽太宽无法识别窄带LNA 增益8~14dB尽量小防止过载VGA 增益15~25dB根据频谱图实时调节最低信号确认阈值底噪以上 10dB低于 10dB 容易受随机噪声干扰断电复现次数至少 3 次重复出现才能确认与终端强相关还有一个常被忽略的细节HackRF 和电脑之间的 USB 线材质量很重要。劣质线缆在 4GHz 以上频段会有严重辐射干扰直接影响低噪声接收效果。短、粗、带屏蔽的 USB 线优先电源尽量用独立供电而不是笔记本单口供电。6. 防御视角把“漏”变成“懂”讲完了怎么发现本振泄漏再把镜头反转过来站在设备和终端使用者的角度看这件事。既然接收机一定会“漏”那怎么把暴露降到最低这才是做扫描测试之后最有价值的收获。6.1 针对本振泄漏的防护思路从工程上抑制本振泄漏核心原则是增加本振信号到天线之间的隔离路径常见手段包括天线口加带通滤波器直接在射频端把本振频率滤掉这是最直接的做法。不过对于已经做成一体的相控阵终端用户没法自己改硬件只能靠厂家设计阶段选用高隔离度混频器和良好屏蔽来压制。终端摆放位置调整。如果你是担心个人设备暴露尽量把终端放在远离窗户和人行通道的位置或者放在阳台内侧增加泄漏信号被室外监测到的衰减路径。使用屏蔽帘或屏蔽窗膜这些对特定频段电磁波有一定吸收作用但因为会同时削弱终端接收的卫星信号需要权衡。另外一个现实是本振泄漏的实际功率非常低通常不超过几十微瓦级别绝大多数场景里只能对 20 米内的专业接收机构成有意义的探测价值。并不是说随便一个人拿手机就能定位你需要知识、设备和靠近三个条件同时具备。所以不必妖魔化但从个人安全意识上知道这个机制就能理解射频世界里没有绝对的“被动”。6.2 从“抓特务”的梗到射频指纹识别最后再聊聊标题里的“抓特务”这个梗。其实在无线电爱好者和安全从业者圈子里这个说法早就是调侃了这里的“特务”指的是“潜在的辐射源”而不是真正的什么特定人群。任何设备只要通电运行就有射频特征本振泄漏是其中最有辨识度的一种因为它是设备“身份”的一部分。不同的晶振频率、PLL 环路带宽、电路板走线布局都会让泄漏信号带上细微差异这就形成了射频指纹。更进一步说同样的星链终端不同批次的本振频率偏移和杂散模式都略有不同这种差异甚至可以用于设备识别。做完一轮扫描测试后我对这件事最大的体会是设备并不比人诚实多少它总在悄悄地泄露自己的状态、身份和位置。拿 HackRF 接收星链终端的本振信号本质上是替设备“听”了一遍它自己无意中说的真话。对我们每个人来说理解这一点不单是为了掌握一项技术操作更是为了建立一种“射频空间里没有绝对隐私”的基本判断。但说到最后我还是想强调一个观念变化不要一上来就想着追踪什么目标设备而是先把自己的设备和测量环境搞清楚。我在几次实践里最大的收获不是定位到了多少信号而是养成了一个习惯——无论用什么接收机做测试都会先检查仪器自身的本振泄漏。这个习惯帮我免掉了一堆“信号明明存在却找不到发射源”的无效排查。如果你准备开始做类似的扫描实验我建议你第一步也是折腾自己的 HackRF看看它的本振泄漏在近距离能被你的天线扫到多强。只有先认识了自己仪器的那份“不诚实”你才有资格在这片电磁空间里去分辨、去确认那些更隐蔽的“实话”。
