路由器劫持是家庭/中小企業網絡最隱蔽、危害最大的威脅之一。劫持者控制路由器後，可竊取賬號密碼、劫持 DNS 導向釣魚/廣告頁、植入惡意代碼、監控全網流量。本文教你識別徵兆、分析根因、構建四重防護。
路由器被劫持的 6 大典型徵兆
| 徵兆 | 表現 | 底層原因 |
|---|
| 瀏覽器頻繁彈出廣告/跳轉推廣頁 | 訪問淘寶/京東/銀行頁面自動跳轉帶推廣碼鏈接 | DNS 劫持 / HTTP 注入 / 瀏覽器劫持擴展 |
| 殺毒軟體反覆報毒/清不掉 | 掃描出惡意腳本/挖礦程式，清除後重現 | 路由器下發惡意腳本/插件，或內網設備被持久化 |
| 網速突然暴跌/延遲極高 | 非高峰期也極慢，重啟路由器短暫緩解 | 路由器被植入代理/挖礦/僵屍網絡節點，佔用帶寬/CPU |
| 路由器設置被竄改 | DNS 被改為陌生 IP、管理密碼變了、端口映射多出陌生條目 | 攻擊者已獲取管理權限 |
| 不明設備出現在客戶端列表 | 設備列表出現不知名 MAC/主機名，且非自家設備 | Wi-Fi 密碼洩露/破解、WPS PIN 破解、物理接入 |
| SSL 證書錯誤/HTTPS 降級 | 訪問 HTTPS 站點提示證書不受信任、證書非官方簽發 | 中間人攻擊 (MITM)，路由器安裝偽造根證書 |
為什麼路由器容易被劫持？四大根因
- 默認弱口令未修改：出廠 admin/admin、admin/1234、user/user，掃描器秒級破解
- 固件漏洞未修補：CVE-2018-10561/10562 (GPON)、CVE-2020-8515 (D-Link)、CVE-2021-35394 (Realtek SDK) 等大量未修補設備暴露公網
- 開發/廠商後門：調試接口未關閉 (Telnet/串口/隱藏頁面)、硬編碼後門賬號、供應鏈投毒
- 用戶安全意識薄弱：Wi-Fi 密碼簡單/共享、開啟 WPS、隨意點擊釣魚鏈接安裝惡意 App、公共 Wi-Fi 做敏感操作
四重防護體系：從邊界到內網
第 1 重：邊界加固 — 路由器自身硬化
- ✅ **修改管理憑證**：帳號非 admin，密碼 ≥16 位強密碼，存入密碼管理器
- ✅ **關閉 WAN 口管理訪問**：僅允許 LAN/管理 VLAN/VPN 訪問管理界面/SSH
- ✅ **關閉 WPS** (PIN 碼極易暴力破解，PBC 需物理按鍵相對安全但建議全關)
- ✅ **固件保持最新**：啟用自動更新或定月手動檢查，關鍵 CVE 24h 內修補
- ✅ **修改默認管理 IP/端口**：192.168.x.1 → 192.168.x.y (y>100)，HTTP 80 → 8443/隨機高端口
- ✅ **啟用 HTTPS 管理**，上傳自簽/Let's Encrypt 證書
- ✅ **關閉不必要服務**：UPnP、Telnet、SNMP v1/v2c、TFTP、CWMP/TR-069 (非 ISP 管理)
第 2 重：無線加固 — 切斷無線入侵入口
- ✅ **WPA3-SAE / WPA2-AES** 強加密，**禁用 WEP/TKIP/WPA/WPA2 混合**
- ✅ **Wi-Fi 密碼 ≥16 位強密碼**，定期輪換 (季度)
- ✅ **關閉 SSID 廣播** (輔助，非核心，參考 7967 文章)
- ✅ **MAC 白名單** (核心設備)，訪客/物聯網進**訪客網絡** (隔離主網絡)
- ✅ **啟用 802.11w (PMF)** 防去認證/解關聯攻擊
- ✅ **調整發射功率**：適度降低減少向外洩漏，保證覆蓋即可
第 3 重：DNS 完整性保護 — 核心流量控制點
- ✅ **路由器設置 DNS 為可信公共 DNS**：114.114.114.114、223.5.5.5、8.8.8.8、1.1.1.1，**勾選「自動獲取」並鎖定** 或手動指定
- ✅ **啟用 DNS over HTTPS (DoH) / DNS over TLS (DoT)**：OpenWrt/梅林/官改固件支持，防止鏈路劫持/竄改
- ✅ **定期檢查路由器 DNS 設置**：未被改為陌生 IP (如 192.168.x.x 非網關、公網陌生 IP)
- ✅ **終端同步設置 DoH/DoT**：瀏覽器/系統/手機設置加密 DNS，雙重保險
第 4 重：內網側深度防禦 — 假設邊界已失陷
- ✅ **全設備安裝 EDR/殺毒軟體**：開啟實時防護、定期全盤掃描
- ✅ **瀏覽器強制 HTTPS**：HTTPS Everywhere / 瀏覽器內置「始終使用安全連接」
- ✅ **敏感操作專用環境**：網銀/支付/郵箱核心賬號 → 專用瀏覽器配置文件/虛擬機/手機 App，避免在通用環境操作
- ✅ **重要賬號啟用 2FA/MFA**：TOTP (Google Authenticator/Authy) / 硬件密鑰 (YubiKey) / 推送認證
- ✅ **網絡分段**：VLAN 劃分 (管理/核心/辦公/客戶/IoT)，ACL/防火牆策略隔離橫向移動
- ✅ **流量監控與異常檢測**：NetFlow/sFlow/Zeek/Suricata 分析異常連接、大流量、非常用端口/協議
公共 Wi-Fi 生存指南
- ❌ **絕不**在公共 Wi-Fi (咖啡廳/機場/商場/酒店) 進行：網銀轉賬、支付寶/微信支付、郵箱登錄、企業 VPN/郵箱/代碼倉庫訪問
- ✅ **必須**使用：
- 手機熱點 (自帶 4G/5G)
- 可信 VPN (自建 WireGuard/商業付費 VPN，免費 VPN 多為流量收割機)
- HTTPS + DoH/DoT 雙重加密
- 瀏覽器隱私模式 + 禁用第三方 Cookie
- ⚠️ 識別惡意熱點：SSID 與官方相似 (「Starbucks_Free」vs「Starbucks_WiFi」)、無加密/弱加密、捕獲門戶頁面要求安裝證書/App
應急響應：發現被劫持怎麼辦？
- **斷開路由器 WAN 口** (物理隔離外網)
- **有線連接電腦登入路由器** (避免無線被監聽)
- **恢復出廠設置** (RESET 斷電長按，參考 7963 文章)
- **重新配置**：強密碼、關閉 WAN 管理、設置可信 DNS、升級固件
- **全網設備掃毒/換密碼/查賬單/凍結風險賬號**
- **保留日誌/配置/截圖** 向 ISP/公安/廠商報告