去年秋天，器渗我在一个老小区做网络维护。器渗用户报修说网速慢，器渗我上门一看，器渗光猫后面接了三台路由器，器渗其中一台是器渗某品牌AX3000，固件版本还是器渗2021年的。登录后台，器渗DHCP客户端列表里躺着十七个陌生MAC地址。器渗用户自己只连了四台设备。器渗那台路由器已经被拿下了。器渗

这种事不稀奇。器渗家用路由器出厂默认密码大多是器渗admin/admin或者admin/password，很多人装完就不管了。器渗攻击者用扫描工具扫全网段，器渗几分钟就能筛出一批开放80端口、返回登录页面的设备。试几组默认凭证，成功率不低。进去了能干嘛？改DNS、开DMZ、映射内网端口、刷固件。最狠的是刷入定制固件，把路由器变成流量中转节点，所有经过它的数据都从别人服务器绕一圈。

我见过一个案例。某公司前台那台路由器被刷了OpenWrt魔改版，内置了SOCKS5代理。攻击者把代理账号挂在暗网卖，买家用来跑爬虫和撞库。路由器本身性能不差，跑满百兆带宽CPU占用不到30%。网管三个月没发现，因为路由器管理页面被重定向到一个假登录页，输错密码就跳回正常界面。真登录入口藏在某个特定URL后面，需要带一个自定义header才能访问。

家庭用户更麻烦。很多人用路由器拨号，公网IP直接暴露。UPnP默认开着，内网设备可以自动开端口。攻击者扫到UPnP服务，直接添加端口映射，把内网某台机器的3389或者22端口捅到公网。那台机器可能只是台NAS，密码是弱口令。链条就这么串起来了。

怎么判断自己路由器有没有被渗透？几个信号：管理界面响应变慢，因为固件里多了东西；DNS设置被改成陌生IP，比如一些东南亚或者东欧的地址；系统日志里出现大量来自外网IP的登录失败记录；或者更直接的，路由器背面贴的默认WiFi密码和你现在用的不一样，说明有人改过配置。

我自己的做法是：路由器只做桥接，拨号交给光猫，光猫后面接一台软路由跑OpenWrt。防火墙规则只放行必要端口，UPnP关掉，管理界面只允许内网访问，固件每周检查更新。听起来麻烦，但比被人当跳板强。有一次我抓包发现软路由上有台设备在往外发SSDP发现报文，频率异常高。查了一下是台智能插座被扫了，固件有漏洞。直接把它扔进IoT隔离VLAN，世界清净了。

路由器渗透不像入侵服务器那么轰轰烈烈，它安静、持久、成本低。一台被控的路由器可以潜伏几年不被发现。你感觉网速偶尔卡一下，以为是运营商的问题，实际上数据正在绕地球半圈。下次登录路由器后台，看看DHCP列表里有没有你不认识的设备，看看DNS是不是你设的那个。花五分钟，可能省掉后面一堆麻烦。