不收你钱的代理，成本有人在付
免费代理 IP 不收你的钱，开代理的人从别处回本，常见的办法有三种。要你装应用的免费代理和免费 VPN，能把你家的宽带转卖成住宅代理；谁都能连的公共代理，有一部分往经过的网页里塞广告和挖矿脚本；两种都能把记下的浏览记录拿去卖。列表上还有很多地址，背后没有谁有意开代理。2021 年 4 月到 2023 年 10 月，有研究者每天把 11 个公开代理列表网站上的地址测一遍，30 个月攒下 64 万多个，平均每轮能用的只有 3.36%。他们按设备扫描的结果推断，其中很多是被入侵的设备，路由器居多 [1]。
免费代理列表我没有自己测，列表的地址这页也一个不给。数字来自三项公开的测量研究，除了上面这份，另外两份的数据采于 2017 年和 2018 年 [2][3]；再加一项 2016 年发表的安卓 VPN 应用研究，和 Hola、Bright Data 两家公司写在自己网页上的说明。2026-10-30 我把这些页面挨个打开，论文下了全文，摘要里的数字逐个回正文找了出处。安卓那项研究的样本是 2015 年 9 月采的，用到的地方我都写了年份。
| 来路 | 钱从哪来 | 你交出去的 | 我核到的数字 | 我没核到的 |
|---|---|---|---|---|
| 转卖带宽 | 买住宅代理的公司 | 自家宽带，和这个 IP 在网站那边的记录 | Bright Data 住宅流量按量标价每 GB 8 美元 | 它按人头付给应用开发者多少钱 |
| 插广告和脚本 | 广告主，你的电脑替人挖的币 | 页面内容，经代理下载的文件 | 2017 年 19473 个可用代理里 38.21% 改过页面 | 2021 年以后插进去的是什么 |
| 卖浏览记录 | 买数据的公司 | 去过的网址，账号和设备信息 | 宣称保护隐私的免费 VPN 应用里 75% 带第三方追踪库（2015 年样本） | 哪个免费代理在卖，卖给了谁 |
| 没人经营 | 设备主人不收钱，有的可能被人转卖 | 稳定，碰上被人控制的设备还有密码 | 42206 个代理 IP 上查到 MikroTik 路由器的软件 | 被入侵的设备占多少 |
转卖带宽，被卖掉的是你家那条宽带
这种回本办法只出现在要你装东西的免费代理上，列表上抄来的 IP 碰不到你家的宽带。Hola 是一款 VPN，有免费版也有付费版。免费版拿什么换，它的常见问题页写得很直白 [4]。它用你设备的一部分资源来换，在 Windows 和安卓上只挑你不用设备的时候用，用户贡献出来的资源大家共用，也给 Bright Data 做生意。付费版的权益里列着一条，你永远不会被当作节点。倒过来读，免费用户会。
Bright Data 是一家卖住宅代理的公司，它的博客讲过住宅 IP 从哪来 [5]。合作应用里嵌一个 Bright SDK，用户在看广告和加入它的网络当节点之间选一个，选了当节点就不用看广告。当节点有条件，设备要闲着、联网，还得插着电，没插电的话电量要在 60% 以上。Bright Data 按选择加入的人头，每月付给应用开发者一笔钱，每人多少页面没写，我没核到。
这些家用地址转手卖出去的价钱写在它的价目页上 [6]。2026-10-30 我打开时，住宅代理按量付费标价每 GB 8 美元，页面同时挂着前三个月打五折的促销。它自称有 4 亿多个轮换的住宅 IP，覆盖 195 个国家和地区，客户用住宅和移动网络之前要先过 KYC 审核。一条账就这么走下来，用户省掉几条广告，流量从他家的宽带出门，Bright Data 按 GB 卖给审核过的公司，开发者按人头分一份。住宅流量凭什么卖得贵，代理 IP 那页拿另一家厂商的价目表算过。
免费 VPN 应用里这么做的不止一家。2016 年发表在 IMC 会议上的一项研究，从 2015 年 9 月 Google Play 上的 148 万多个应用里筛出 283 个申请了 VPN 权限的免费应用，挑 150 个装上测试手机跑流量，16% 看起来把流量交给别的用户转发，不走云上的服务器 [7]。
设备当了节点，买家的请求就从你家的公网地址出门，网站日志里记下的是你的 IP。那些请求去了哪、干了什么，你在自己这头看不到。网站要封、要弹验证码，冲的也是这个 IP，家里共用这条宽带的手机和电脑一起受着。
插广告和挖矿脚本，改得动的是没加密的那部分
公共代理不用你装任何东西，它能动的是经过它的网页和文件。2018 年发表在 NDSS 安全会议上的一篇论文，作者在 2017 年 4 月中到 6 月中盯着 15 个代理列表网站，攒下 65871 个不重复的 HTTP 代理，能正常取回测试网页的有 19473 个，7441 个改过页面，占 38.21% [2]。多数改动没被算成恶意，有的只是拦掉了页面上的广告和追踪代码。判为恶意的有 1004 个，占可用代理的 5.15%，47% 插广告，12% 想把人引到带恶意程序的页面。
插广告有个省事的做法，把网页上原有广告的发布者编号换成代理自己的，页面看着跟原来一样，广告分成换了人拿。论文作者在自己搭的测试网站上抓到两个代理这么干。其中一个先老老实实转了 18 天，接着连续 11 天换编号，之后又规矩起来，一直到实验结束。
2018 年另一项研究查得更宽，4 月 12 日到 5 月 31 日这 50 天里，经代理取网页，也取安装包、压缩包和脚本 [3]。21385 个代理里，43 个返回过恶意的 HTML，2472 份恶意响应塞的是同一段挖门罗币的脚本，网页开着，访客的电脑就在替别人挖矿。下载更要命，413 个代理至少改过一次 .exe 安装包，查出来的有 Expiro 家族的恶意程序，能偷个人信息，也能给攻击者开远程控制。他们查出 469 个返回过恶意内容的代理，拿去对前一组研究者公布的问题代理名单，一个都没对上，他们的解释是代理作恶可能时有时无。一个免费代理测一次是干净的，我不会当它下次也干净。
地址栏带锁的 HTTPS 网页难改得多。同一项研究里，能正常取回内容的代理有 70% 放行 HTTPS，只在中间搬加密后的字节，内容拆不开，原理我在代理服务器那页按 CONNECT 那一步写过。9625 个支持 HTTPS 的代理里，有 102 个换上了自己改过的证书，这种证书浏览器不认，会弹警告。出事的地方集中在几处，没加密的 http 网页，经 http 下载的安装包，弹了证书警告还点继续，还有对方让你装上的根证书。
2021 到 2023 年那项研究只数改没改，不分改进去的是什么。30 个月里 16923 个代理至少改过一次返回内容，平均每轮能用的代理里有 5.7% 在改 [1]。这个 5.7% 把所有改动都算了进去，2017 年的 5.15% 只算恶意的，两个数放不到一起比。
卖浏览记录，这笔钱你看不见
第三种回本办法不改你的页面，只记下你去了哪里。公共代理看得到多少，看网页加没加密，http 网页的网址、Cookie 和填进表单的内容它全看得见，HTTPS 网页只看得到域名、时间和流量大小。2017 年那 1004 个恶意代理里，39% 往页面里塞了收集访客信息的代码，拿去追踪和识别设备 [2]。
免费 VPN 应用拿得更多，安卓的 VPN 权限让它能接管整台手机的流量。2016 年那项研究看的 283 个应用里，67% 宣称能增强隐私和安全，这一批里 75% 嵌着第三方追踪库，82% 申请了读取账号、短信这类敏感权限 [7]。75% 这个数，摘要那句读起来像在说全部应用，正文写明是宣称保护隐私的那批，我按正文写。装上测试手机跑过流量的 150 个里，18% 的隧道没有加密，两个往用户的流量里插广告和追踪脚本，其中一个把购物网站的流量导给外面的广告合作方，还有 4 个动了手机的根证书库，在半路解开 TLS 流量。
记下来的东西有人买，这一条我找到的最硬的证据出在代理行业外面。美国联邦贸易委员会 2024 年 2 月 22 日公布了对 Avast 的命令 [8]。Avast 做杀毒软件和浏览器扩展，最晚从 2014 年起借这两样东西收集用户的浏览记录，子公司 Jumpshot 在 2014 到 2020 年把记录卖给 100 多家第三方，里面有每个浏览器的唯一编号、访问过的每个网站、精确的时间戳和所在城市。它的浏览器扩展对外说能拦住追踪浏览行为的 Cookie。命令要它付 1650 万美元，以后不准为做广告卖浏览数据。
Avast 和代理不沾边，我把它放进来，是因为它说明浏览记录有现成的买家，喊着保护隐私的免费工具也会卖。具体哪个免费代理、哪个免费 VPN 把记录卖给了谁，我手里没有能核实的材料。
网页代理在它自己的服务器上拆开加密
网页代理不用改任何设置，打开一个网站，往框里填上想去的网址，它的服务器替你把页面取回来。CGIProxy 是一款能自己架在服务器上的网页代理程序，作者在安全说明里写得很清楚 [9]。程序要改写网页，把页面上所有链接都指回代理自己，就必须看见经过它的流量，代理的主人能看到全部流量，包括所有密码和别的敏感数据。作者说多数代理都这样，他的建议也干脆，信不过代理的主人就别用。
地址栏就看得出差别。经网页代理打开一个 HTTPS 网站，地址栏里是代理的域名，那把锁只管你到代理这一段，加密在代理那里解开，它再自己去连目标网站。在系统或浏览器里填的 HTTP 代理和 SOCKS 代理，是替你建一条隧道，加密从浏览器一直通到网站。同样打开 HTTPS 网站，网页代理看得见你的密码，这两种看不见。
没人经营的地址，不少架在别人的路由器上
2021 到 2023 年那项研究拿设备扫描服务 Shodan 去查能用过的代理 IP，查到资料的有 11 万多个，42206 个 IP 上跑着 MikroTik 路由器的软件，1720 个是海康威视的摄像头，一共查出 4452 个不同的已知漏洞，1755 个能让人不经授权执行命令 [1]。作者据此推断多数代理架在路由器上，很多是被入侵的设备，这是推断，论文没有逐台证实。
有些这样的地址背后照样有人赚钱。论文转述了安全公司 Sysdig 的发现，有人利用 Log4j 漏洞在别人的机器上装代理，再把这个 IP 卖给代理商，作者猜列表里有一部分地址是这么来的，没给比例。
配置出错的也有。2018 年那项研究查到 435 张被替换过的证书，来自 21 个签发者，有 4 个看名字是学校，作者认为是学校的代理配错了，对哪里来的请求都放行 [3]。
想借免费代理连到境外，列表上却有不少地址本身就在国内，连上了，网站看到的还是国内的出口。2017 年那份数据里，代理数量排第一的自治系统是中国联通的 AS4837，6834 个，恶意代理最多的也是它，433 个 [2]。2021 到 2023 年那份数据里排第一的是中国电信的 Chinanet，3.7 万多个代理 [1]。
这些地址多半还上了黑名单。2017 年那份数据拿代理的 IP 去 66 个 DNS 黑名单里查，哪个名单都不在的只占 28.46%，能正常取回网页的那批更差，干净的不到两成 [2]。拿这样的地址去登录账号，多一道验证算轻的。
已经用过的话，我会补做三件事
用过免费代理或者网页代理，我按急缓排这三件事，密码最急。
- 改密码。经它们登录过的账号，换回自家网络直连，把密码改掉，再去账号的安全设置里把其他设备的登录全部退出。走过网页代理的那几次，密码在对方服务器上是明文。
- 查根证书。免费 VPN 应用想在半路解开 HTTPS，得先让你的设备信它的证书，2016 年那 4 个应用就是这么干的。Windows 上按 Win+R，输入
certmgr.msc看当前用户的证书，输入certlm.msc看整台电脑的 [10]，展开“受信任的根证书颁发机构”，对着签发者一栏找不认识的名字，查清是谁装的再决定删不删。iPhone 上打开设置，点进通用，再点关于本机，往下翻能找到证书信任设置，Apple 的说明写着，页面上没有“针对根证书启用完全信任”这一栏，就是没装过额外的证书 [11]。 - 重下经代理下载的安装包。2018 年那 413 个改 .exe 的代理说明，经免费代理下过的程序信不过，删掉，回开发者自己的网站重新下。免费 VPN 应用和想不起从哪装的浏览器扩展，一起卸掉。
把这笔账换成明码标价
想打开海外网站、用 AI 工具，个人花钱买机场订阅就够了。机场订阅是按月流量计费的代理节点，节点出口是运营方的服务器，运营方靠你交的钱回本。我跟踪的 34 家机场，入门档全是年付，便宜的一年 79 元，贵的一年 137 元，按核对方法折成月价和每 GB 以后分成四组。
| 年付价（元） | 家数（家） | 折合月价（元） | 每月流量（GB） | 每 GB，年付口径（元） | 我测过速的（家） |
|---|---|---|---|---|---|
| 79～90 | 8 | 6.58～7.50 | 40～60 | 0.12～0.16 | 3 |
| 96 | 14 | 8.00 | 60 | 0.13 | 3 |
| 98～99 | 6 | 8.17～8.25 | 30～70 | 0.12～0.27 | 1 |
| 108～137 | 6 | 9.00～11.42 | 30～100 | 0.11～0.33 | 1 |
96 元一年、每月 60GB 这一组挤着 14 家，是 34 家里最常见的入门价。表里有两处缺口。试用和退款规则，34 家我只核过一家，是 96 元那组里的星岛梦（StarDream），2026-10-20 核对时它不给试用，退款写的是无条件，具体怎么退以它客服的说法为准。速度我测过 8 家，其余 26 家我没测过。每家的明细和同档位横比在飞机场导航。
做采集、养账号要成批轮换的住宅 IP，机场订阅帮不上，它的出口是很多人共用的服务器地址。这种需求得找按 GB 卖住宅代理的公司，Bright Data 的住宅地址就是第二节写的那种来路。实名要求和平台条款，买之前要对清，在代理 IP 怎么买那页。
想先不花钱试试，试用、公开节点和一元机场这几种来路各有代价，放在免费梯子那页。
付了钱，运营方照样知道你连过哪些域名、什么时候连、用了多少流量，HTTPS 网页里的内容它拆不开，这和免费代理是同一回事。这些记录留不留、留多久，我记下的 34 家资料里一个字都没有，这一项我没核到。