2023年三月的黑客一个凌晨，某省城一半以上的利用路由络攻宽带用户突然集体断网。运营商排查了半天，器漏最后发现罪魁祸首不是洞网光缆被挖断，而是击分一批家用路由器被人远程操控，发起了针对DNS服务器的黑客流量轰炸。这些路由器里，利用路由络攻有七成是器漏五年前的老型号，固件漏洞早就被公开，洞网厂商却从未推送过补丁。击分

这种攻击手法在黑客圈里早就不新鲜了。黑客他们扫描公网IP段，利用路由络攻专挑开了445端口或者管理界面暴露在外的器漏设备下手。有的洞网漏洞利用起来简单得吓人——比如某品牌路由器只要在URL后面加上特定字符串，就能直接读取管理员密码，击分连暴力破解都省了。拿到权限后，黑客把路由器变成僵尸网络的一个节点，平时按兵不动，等到需要发起DDoS攻击时，这些家用设备就成了免费的兵力。

更阴险的是，有些攻击根本不是为了流量攻击。去年我帮朋友排查网络卡顿问题，发现他家的路由器被植入了恶意DNS配置。所有网页请求都被转发到一个钓鱼服务器，银行网站的登录页面做得一模一样，只是URL多了个不起眼的字母。朋友差点在假页面上输入卡号密码，幸好他习惯性看了一眼地址栏。这种劫持方式比直接入侵电脑隐蔽得多——用户以为网络一切正常，实际上所有流量都经过黑客的过滤器。

家用路由器的安全状况确实糟糕。厂商为了追求低成本，用的芯片性能弱，跑不动复杂的加密算法，固件代码又多是外包给第三方写的，漏洞一抓一大把。更麻烦的是，大多数用户根本不会去升级固件——路由器买回来设置好密码就再也没管过，厂商发布安全更新也形同虚设。我见过不少家庭用户的路由器管理密码还是默认的admin/admin，等于把家门钥匙挂在门口。

攻击者还学会了“细水长流”的打法。他们不急着搞破坏，而是把僵尸网络租给其他犯罪团伙，按小时计费。这种地下商业模式让攻击成本变得极低——一次持续半小时的DDoS攻击，在暗网上只要几百块钱。受害者往往要到业务中断才发现出了问题，而黑客早就在攻击结束后清除了日志，连痕迹都不留。

最讽刺的是，有些安全研究人员尝试主动联系设备厂商报告漏洞，得到的回复往往是“感谢反馈，我们会尽快处理”，然后就没了下文。等漏洞被公开利用，厂商才慌慌张张地发布补丁，可那时候全球可能已经有几十万台设备沦陷了。这就像等到房子着火了才想起去买灭火器——晚了。

说到底，路由器安全不是靠用户自觉就能解决的问题。厂商需要把安全测试纳入产品生命周期，而不是把设备卖出去就当甩手掌柜。用户能做的有限，但至少可以改掉默认密码、关闭远程管理功能、定期检查固件更新。别等到哪天家里的摄像头突然转向陌生角度，或者网速莫名其妙变慢，才想起来路由器里可能住着不速之客——那时候，你的网络早就不是你的了。