路由器渗透攻击

家用路由器的器渗默认管理地址通常是192.168.1.1或192.168.0.1，但真正危险的透攻不是这个地址，而是器渗用户从不修改的默认口令。去年我帮邻居排查网络卡顿，透攻随手输入admin/admin，器渗直接登进了他那台TP-Link的透攻管理后台——他连WiFi密码都是八个8。这不是器渗段子，是透攻大多数家庭网络的真实状态。

攻击者要做的器渗第一件事，就是透攻扫描公网IP段上的开放端口。路由器不像电脑有防火墙拦截，器渗它的透攻80、443、器渗23端口常常裸露在互联网上。透攻我用Shodan搜过，器渗全球有超过千万台路由器暴露管理界面，其中相当一部分口令是admin、root或者干脆空密码。你不需要黑客技术，只要会使用搜索引擎级别的工具，就能批量获取设备权限。

拿到管理权限后，攻击者通常会做三件事。第一，修改DNS服务器地址。这个动作最阴险，因为用户完全无感——你输入淘宝网址，DNS却把你导向钓鱼服务器，账号密码就这么交出去了。第二，开启远程管理端口，把路由器的SSH或Telnet暴露给攻击者自己的IP，方便随时回来。第三，植入固件后门，这需要点技术含量，但很多老款路由器存在已知漏洞，直接利用公开的exploit脚本就能刷入定制固件。

有个案例让我印象很深。某公司财务人员发现网银转账总被莫名篡改收款方，查了半个月内网，最后发现是办公室那台用了五年的TP-Link路由器被人改了DNS。攻击者根本没进公司系统，只是在外部租了台VPS，等着财务人员访问网银时劫持请求。整个过程中，公司所有安全软件都毫无反应——因为它们监控的是终端，而不是网关。

更麻烦的是，路由器固件更新周期极长。厂商往往只在产品发布头半年修补漏洞，之后就把精力投入新款。我手头有台2017年的路由器，官方最后一次固件更新停在2019年，而它暴露的CVE漏洞有七个，其中三个允许远程代码执行。这意味着什么？哪怕你密码设成二十位随机字符，攻击者也能通过漏洞直接绕过认证。

防御手段其实不复杂，但需要点反常识思维。别信那些复杂的密码策略，关键是别用默认IP段——把管理地址改成192.168.88.1这类冷门段，能挡掉八成扫描流量。关闭WPS功能，这玩意儿被爆过无数漏洞，纯粹是给攻击者留后门。固件更新别等推送，每个月主动去官网看一次。最后，如果路由器超过三年没换，直接扔了买新的——这不是消费主义，是安全成本。

我见过太多人给电脑装杀毒软件，却对路由器的脆弱视而不见。它是你家网络的唯一出口，却往往是防护最薄弱的环节。下次网络卡顿，别急着重启光猫，先登录后台看看有没有陌生设备连接——如果发现一个叫“iPhone”的未知设备，那可能不是邻居蹭网，而是有人已经站在你家网络的大门口了。

本文地址：http://www.79wt.cn/news/155a9799747.html