2020-07-27 08:40:42
家用路由器很悲剧的是：已经被黑产同学们盯上了。
路由器如：TP-Link、D-Link、一堆国产的、开源固件打造或改改用的，都存在各类安全问题。
比如老外做了个汇总页面，大家可以去围观下：http://routerpwn.com/，如下图：
大家仔细看看可以发现全球主流的路由器都被爆出了各种漏洞或后门！
这些漏洞的攻击方式大概两类：
- 用户上网过程中，访问一个恶意链接，路由器即被黑；
- 路由器公网IP暴露，黑客通过远程就能直接黑掉路由器；
我们知道一个攻击要风靡，不仅是在「学院」或「实验室」里进行概念验证，一旦工业化就会流行，今年有个非常重要的趋势：黑产盯上了家庭/公司路由器，通过漏洞技巧去篡改这些路由器的DNS服务器。这意味这：
- 用这个路由器上网的一批用户都被「劫持」了；
- 上网流量被劫持，意味着上网隐私没了，密码、证书等都可能泄露；
- 返回的页面可能被篡改植入广告、挂马之类的；
下面特别八卦八卦TP-Link与D-Link这两款国内最普遍的家用路由器。
1. TP-Link路由器DNS劫持事件
这是近一年都在流行的攻击事件，危害很广。
百度搜索上线了一个非常重要的策略，如果发现有网站被植入恶意篡改用户路由DNS的代码时，就会拦截页面，打出提示！据安全联盟的统计发现过万的网站被黑，植入了路由DNS劫持代码，这个数量非常之大。居然我身边的几位同学都来和我说自己被劫持了！我是安全圈的，我的同学根本不是这个圈子，只是普通的网民！这说明路由DNS劫持攻击已经在风靡。
过去一段时间，我们团队就捕获了至少5个变种。这类攻击的模式一般是：
- 攻击者黑下一批网站；
- 攻击者往这批网站里植入路由DNS劫持代码（各种变形）；
- 攻击者传播或坐等目标用户访问这批网站；
- 用户访问这些网站后，浏览器就会执行「路由DNS劫持代码」；
- 用户的家庭/公司路由器如果存在漏洞就会中招；
- 用户上网流量被「假DNS服务器」劫持，并出现奇怪的广告等现象；
虽然这次攻击主要针对TP-Link路由器，不过中招的路由不仅TP-Link！我们捕获的样本还发现其他的。
2. D-Link路由器后门
除了TP-Link被以这样的方式攻击外，D-Link的攻击一般是D-Link后门：只要你的路由器有公网IP，通过互联网可以访问到，黑客就可以直接进入你的路由器，并完全控制。
关于D-Link后门的科普图，大家可以看这：http://weibo.com/1652595727/AfFkAegd3?mod=weibotime，了解个大概，非常有趣。
ZoomEye团队前段时间绘制出了全球存在D-Link后门的受影响路由分布：http://www.zoomeye.org/lab/dlink，如下图：
可以看到，全球的影响面，简直就是：黑遍全球……
