网络设备有漏洞嘛

去年秋天，网络我帮朋友调试一台家用路由器，设备顺手扫了一下端口。有漏结果吓一跳——那台号称“企业级安全”的网络设备，竟然开着Telnet服务，设备默认密码还是有漏admin。朋友一脸茫然，网络说这路由器是设备花大价钱买的，包装盒上印着“军工加密”。有漏我笑了笑，网络没告诉他，设备这台设备固件版本停留在三年前，有漏已知漏洞至少十几个。网络

网络设备有漏洞吗？设备这个问题就像问“人会不会生病”一样，答案显而易见。有漏但你真正该问的是：漏洞藏在哪里，有多深，以及——你家的路由器、公司的交换机、工厂的防火墙，到底有多“裸奔”。

路由器、交换机、防火墙，这些设备看起来像铁盒子，实际上就是台小电脑。有CPU、有内存、有操作系统，甚至还有Web管理界面。既然是电脑，就会跑软件；软件是人写的，人就会犯错。缓冲区溢出、命令注入、硬编码后门——这些在服务器上被骂惨的漏洞，在路由器里一样不少。更糟的是，网络设备往往常年不更新，没人像给电脑打补丁那样去管它们。

我见过一家中型企业，IT负责人拍着胸脯说“我们的核心交换机是思科最新款”。我问他：“固件多久没升级了？”他愣住，翻了半天邮件，最后说：“好像……买来就没动过。”那台交换机运行了四年，CVE库里有三个高危漏洞跟它的版本直接相关。其中一个允许远程未认证攻击者直接拿到管理员权限——也就是说，只要有人扫描到它，就能像逛自家后院一样进出公司内网。

家用设备更惨。去年CNVD通报过某品牌摄像头，十几款型号存在硬编码账号，密码就写在固件里，谁都改不了。我拆了一台，果然是同一个用户名和密码，登录进去还能直接看实时画面。那感觉，就像你家的门锁，钥匙其实是公共的，谁都能配一把。

有人会问：厂商为什么不修？修了，旧款设备就不赚钱了。很多低端路由器出厂后，厂商压根不做后续维护，顶多发个安全公告了事。你要是自己不会刷固件，那就只能忍。更现实的是，很多企业采购网络设备时只看价格和品牌，没人看“安全支持期限”。等出了问题，才发现设备已经停产，漏洞永远没人补。

说个我自己的例子。我家里那台用了五年的华硕路由器，去年被爆出远程代码执行漏洞。官方倒是出了新固件，但我的型号太老，不在支持列表里。我花了一个周末，刷了第三方固件OpenWrt，才算勉强堵上口子。但普通人谁会这么干？大多数人连管理后台都没进过。

所以，网络设备不是“有没有漏洞”的问题，而是“漏洞有多少、多严重、多久没人管”的问题。别迷信品牌，别迷信价格。买设备的时候，多问一句：“固件更新支持几年？”用设备的时候，每季度上去看一眼有没有新版本。要是厂商已经放弃你那个型号——那你就该考虑换一台了。毕竟，网络设备是你数字生活的门锁，门锁坏了，小偷可不会提前敲门。