路由器漏洞

2016年10月，器漏Mirai僵尸网络搞瘫了大半个美国互联网。器漏Twitter、器漏Netflix、器漏Reddit全部宕机，器漏原因不是器漏黑客攻破了什么高级服务器——是一批家用路由器的默认密码没改。这事过去快十年了，器漏同样的器漏问题还在发生。

路由器漏洞大致分几类。器漏最low的器漏是弱口令，admin/admin、器漏root/123456这种，器漏很多厂商出厂就设成这样，器漏用户也懒得动。器漏攻击者写个脚本扫全网IP，器漏几分钟能筛出几十万台。第二类是固件层面的缓冲区溢出，比如2022年TP-Link Archer AX21被曝的CVE-2023-1389，远程未认证就能注入命令。第三类是后门，厂商自己留的调试接口忘了关，或者故意留的远程管理通道。D-Link、Netgear、Linksys都出过这种事。

为什么路由器这么容易出问题？一个很现实的原因——这玩意儿太便宜了。你花一百多块买个路由器，厂商的利润可能就十几块，研发成本被压到极限。固件更新？不存在的。很多型号发布后压根没有安全补丁，或者补丁只打给新款，老用户自生自灭。我手头有个2019年的某品牌路由器，去官网查固件更新，最后一版停在2020年3月，之后再无音讯。这种设备放在网络上，跟裸奔没区别。

更麻烦的是用户根本不会去管它。电脑会提示系统更新，手机会自动升级，路由器呢？大多数人买回来插上电、设个WiFi密码，然后就当它不存在了。固件版本、开放端口、远程管理功能——这些词对普通用户来说跟天书一样。我帮朋友排查过一次网络异常，登录他路由器后台一看，UPnP开着、远程管理开着、固件是四年前的。他完全不知道这些东西意味着什么。

攻击者利用路由器干嘛？不是偷你家WiFi那么简单。被控的路由器会加入僵尸网络，用来发起DDoS攻击、做流量中转跳板、劫持DNS把用户导向钓鱼网站。还有一种更隐蔽的玩法——DNS劫持。你输入银行域名，路由器给你解析到一个长得一模一样的假站，你输的账号密码全进了别人口袋。这类攻击不需要多高的技术，网上现成的工具包一大把。

厂商的态度也挺微妙。有些品牌被曝漏洞后，第一反应是否认，第二反应是拖，实在拖不过去了才发个补丁，还只覆盖在售型号。安全研究者在这方面经常碰壁——你发现了漏洞，按负责任披露流程通知厂商，对方不理你，等你公开了它才跳出来说“已修复”。这种博弈消耗了大量研究者的耐心。

普通用户能做什么？说起来简单做起来烦。登录后台改掉默认密码，关掉远程管理和UPnP，检查固件更新，实在老得不像话的路由器就换掉。但说实话，要求每个人都做到这些不现实。根本的解决办法在厂商那边——强制首次登录修改密码、建立长期固件维护机制、出厂关闭不必要的服务。这些不是技术难题，是态度问题。

路由器是互联网的神经末梢，数量庞大、分布广泛、长期无人看管。这个攻击面不会消失，只会随着IoT设备增多变得更大。下次你家网速突然变慢，别急着骂运营商，先去看看那台积灰的路由器。