在您的家中，路由器不仅是提供 Wi-Fi 信号的设备，它更是隔离您的数字生活与外部狂野互联网的第一道物理防线。如果这道防线被攻破，黑客不仅能窃取您的网络带宽，还能监听您的流量、劫持您的网购密码，甚至将您的智能家电变成僵尸网络的一部分。
为什么路由器会成为攻击目标？
路由器之所以成为黑客的首要攻击目标，原因并不复杂。首先，绝大多数家庭用户从未修改过路由器的出厂默认密码。根据安全机构的调查数据，超过 70% 的家用路由器仍然使用 admin/admin 或类似的弱口令组合。对于攻击者而言，这相当于大门敞开、钥匙插在锁上。
其次，许多路由器出厂时默认开启了 UPnP（通用即插即用） 功能。UPnP 允许内网设备自动在路由器上打开端口映射，虽然方便了游戏主机和智能设备的连接，但同时也为恶意软件创造了从外部直接访问内网设备的通道。2018 年的 UPnProxy 攻击就利用了这一漏洞，影响了全球数十万台路由器。
第三，固件更新严重滞后是家用路由器的通病。很多用户购买路由器后从未更新过固件，而厂商发现的安全漏洞往往需要通过固件更新来修复。一台运行着两三年前固件的路由器，可能存在数十个已知的安全漏洞，每一个都可能成为攻击者的突破口。
最后，路由器是一台 7x24 小时不间断运行、几乎无人监控的设备。与电脑和手机不同，用户几乎不会主动检查路由器的运行状态。这意味着一旦路由器被入侵，攻击者可以长期潜伏而不被发现。更重要的是，路由器是所有家庭设备的网络网关——控制了路由器，就等于控制了整个家庭网络的进出流量。
常见的路由器攻击方式
默认密码爆破
这是最简单也是最有效的攻击方式。攻击者使用自动化工具扫描互联网上暴露管理界面的路由器，然后尝试常见的默认用户名和密码组合。诸如 admin/admin、admin/password、admin/1234、root/root 等组合被收录在公开的默认密码数据库中。像 Mirai 僵尸网络就是通过尝试 60 多组默认密码，在短时间内感染了超过 60 万台物联网设备（其中大量是家用路由器），最终发动了史上最大规模的 DDoS 攻击，导致美国东海岸大面积断网。
即使您修改了密码，如果使用的是简单密码（如 12345678 或您的手机号），暴力破解工具也能在几分钟内将其攻破。建议使用至少 12 位、包含大小写字母、数字和特殊符号的强密码。
DNS 劫持
DNS 劫持是一种隐蔽性极强的攻击方式。攻击者通过漏洞或弱密码进入路由器管理界面后，将路由器的 DNS 服务器设置修改为恶意 DNS 服务器的地址。此后，当您访问银行、电商或社交媒体网站时，恶意 DNS 会将您重定向到精心伪造的钓鱼页面。
这种攻击的危险之处在于，您在浏览器地址栏中看到的域名是完全正确的（例如 www.bank.com），但实际访问的却是攻击者控制的服务器。2019 年的 GhostDNS 攻击活动就以这种方式入侵了超过 10 万台路由器，主要目标是巴西用户的网上银行凭据。受害者在毫不知情的情况下，将自己的银行账号和密码输入了钓鱼网站。
固件漏洞利用
路由器固件本质上是一个精简的嵌入式 Linux 系统，和所有软件一样会存在安全漏洞。常见的漏洞类型包括：缓冲区溢出（允许执行任意代码）、命令注入（通过 Web 管理界面注入系统命令）、认证绕过（无需密码即可访问管理功能）等。
2021 年披露的某知名品牌路由器漏洞（CVE-2021-20090）允许攻击者通过简单的 HTTP 请求绕过认证，直接获取路由器的完全控制权。该漏洞影响了全球数百万台设备。这类漏洞通常在被公开后不久就会被大规模利用，因此及时更新固件至关重要。
UPnP 滥用
UPnP 协议的设计初衷是方便设备之间的自动发现和连接，但它缺乏任何身份验证机制。这意味着内网中的任何设备（包括已经被感染的设备）都可以通过 UPnP 请求路由器打开任意端口。攻击者利用这一特性，可以将内网设备的服务暴露到公网，或者将路由器变成代理跳板，用于隐匿攻击流量的真实来源。
在实际攻击案例中，恶意软件通过 UPnP 在路由器上创建端口转发规则，将外部攻击者的连接直接转发到内网中的摄像头、NAS 或计算机上。用户通常对此毫不知情，因为这一切都在路由器后台静默发生。
远程管理口暴露
许多路由器提供了远程管理功能，允许用户通过公网 IP 访问路由器的 Web 管理界面。如果开启了这项功能且未设置强密码或访问限制，等于将路由器的管理后台直接暴露在整个互联网上。全球扫描工具（如 Shodan、Censys）可以轻松发现这些暴露的管理界面。
根据 Shodan 的扫描数据，全球有超过 400 万台路由器将管理界面暴露在公网上。其中很大一部分使用的是 HTTP 明文协议（而非 HTTPS），这意味着管理员密码在传输过程中完全不加密，攻击者通过中间人攻击即可窃取。
路由器安全检查清单
以下是每位家庭用户都应该执行的路由器安全加固步骤。即使您不是技术专家，按照这份清单操作也能将安全风险降低 90% 以上：
1. 立即修改默认管理密码
这是最重要也是最简单的一步。登录路由器管理界面（通常是 192.168.1.1 或 192.168.0.1），找到管理员密码设置，将其改为一个强密码。好的密码应该是至少 12 个字符，包含大小写字母、数字和特殊符号（如 R0ut3r#S3cur!ty@2026）。同时修改管理员用户名（如果路由器支持的话），不要使用 admin。
2. 定期更新路由器固件
每月检查一次路由器厂商官网是否有新固件发布。许多新款路由器支持自动更新，建议开启这一功能。更新固件不仅能修复已知安全漏洞，还可能带来性能优化和新功能。如果您的路由器已经超过 3 年未收到固件更新，强烈建议更换一台仍在厂商支持周期内的新设备。
3. 关闭远程管理 / WAN 端管理界面访问
除非您有非常明确的需求（如需要远程维护家中的网络），否则应该关闭路由器的远程管理功能。在路由器设置中找到"远程管理"或"WAN 访问"选项，将其设置为禁用。如果确实需要远程访问，建议通过 VPN 连接到家庭网络后再访问路由器管理界面，而不是直接将管理端口暴露在公网上。
4. 禁用 UPnP（除非确实需要）
在路由器的高级设置中找到 UPnP 选项，将其关闭。如果关闭后某些应用（如游戏或视频通话）出现连接问题，您可以选择手动配置所需的端口转发规则，这比开启 UPnP 安全得多。手动端口转发仅开放特定端口给特定设备，而 UPnP 则允许任何设备开放任意端口。
5. 使用 WPA3 或 WPA2-AES 加密
在无线安全设置中，选择 WPA3（如果您的路由器和设备支持）或 WPA2-AES 作为加密方式。绝对不要使用 WEP 或 WPA-TKIP，这些老旧的加密协议已被证明可以在几分钟内被破解。设置一个强壮的 Wi-Fi 密码（与管理密码不同），建议 16 个字符以上。
6. 修改默认 SSID 并考虑隐藏广播
将路由器的默认 SSID（如 TP-LINK_XXXX、HUAWEI-XXXX）修改为不包含品牌和型号信息的自定义名称。默认 SSID 会暴露路由器的品牌和型号，帮助攻击者快速查找该型号的已知漏洞。如果条件允许，可以禁用 SSID 广播，使您的网络不出现在公开的 Wi-Fi 列表中（已连接的设备不受影响）。
7. 开启防火墙并禁用 WPS
确保路由器内置的 SPI 防火墙处于开启状态。同时，禁用 WPS（Wi-Fi Protected Setup）功能——虽然 WPS 通过按钮或 PIN 码简化了设备连接过程，但 WPS PIN 存在严重的安全缺陷，攻击者可以在数小时内通过穷举 PIN 码获取 Wi-Fi 密码。
8. 为物联网设备设置独立的访客网络
智能摄像头、扫地机器人、智能音箱等物联网设备的安全性往往不如手机和电脑。建议为这些设备创建一个独立的访客网络（Guest Network），与您的主网络隔离。这样即使某个物联网设备被入侵，攻击者也无法直接访问您主网络中的电脑、手机和 NAS 等重要设备。
如何检测路由器是否已被入侵
即使已经做好了防护措施，定期检查路由器的安全状态仍然非常必要。以下是几个关键的检查要点：
检查 DNS 设置是否被篡改
登录路由器管理界面，检查 DNS 服务器设置。正常情况下，DNS 应该设置为自动获取（从 ISP 获取）或您手动设置的可信 DNS 服务器（如 Google 的 8.8.8.8 / 8.8.4.4，Cloudflare 的 1.1.1.1，或国内的 114.114.114.114）。如果发现 DNS 被设置为您不认识的地址，这很可能意味着路由器已被入侵，DNS 已被劫持。
排查未知的已连接设备
在路由器的"已连接设备"或"DHCP 客户端列表"页面中，检查是否有您不认识的设备。记录您家中所有联网设备的 MAC 地址，定期与列表进行比对。陌生设备的出现可能意味着有人蹭网，或者更糟糕的情况——攻击者已经接入了您的内网。
检查异常的端口转发规则
在路由器的端口转发或虚拟服务器设置页面中，查看是否存在您未曾创建的规则。恶意软件或攻击者可能通过 UPnP 或直接入侵创建端口转发规则，将内网设备的端口暴露到公网。特别关注映射到 22（SSH）、23（Telnet）、80（HTTP）、443（HTTPS）、3389（RDP）等常见端口的规则。
监控异常的带宽使用
如果您发现网速突然变慢或路由器流量统计显示异常的上传/下载量，这可能表明路由器已被利用为僵尸网络节点、加密货币挖矿代理或 DDoS 攻击跳板。有些路由器提供实时流量监控功能，建议定期查看各设备的流量消耗情况。如果某台设备在您不使用时仍有大量上传流量，应立即排查。
进阶安全措施
如果您希望进一步提升家庭网络的安全性，以下是一些高级技巧：
使用第三方开源固件
OpenWrt 和 DD-WRT 是两款广受欢迎的第三方路由器固件。与原厂固件相比，它们提供了更透明的代码基础、更频繁的安全更新和更丰富的功能选项。通过 OpenWrt，您可以精细控制防火墙规则、流量整形、QoS 策略等。刷入第三方固件前，请确认您的路由器型号在兼容列表中，并做好原始固件的备份。
在路由器层面配置 VPN
在路由器上配置 VPN 客户端（如 WireGuard 或 OpenVPN），可以让所有通过路由器连接的设备自动使用加密隧道访问互联网。这不仅保护了您的浏览隐私，还能防止 ISP 窥探您的网络活动。此外，如果您需要远程访问家中的设备，配置 VPN 服务器比开放端口安全得多。
使用 VLAN 进行网络分段
VLAN（虚拟局域网）可以将物理网络划分为多个逻辑上独立的子网。例如，您可以创建以下分段：工作设备 VLAN、娱乐设备 VLAN、物联网设备 VLAN 和访客 VLAN。各 VLAN 之间的通信受防火墙规则控制，即使一个 VLAN 中的设备被入侵，攻击者也无法横向移动到其他 VLAN。这需要支持 VLAN 的路由器或三层交换机。
启用日志记录和监控
开启路由器的系统日志功能，将日志发送到内网的 Syslog 服务器或日志收集工具（如 Graylog、ELK Stack）。通过日志，您可以追踪登录尝试、配置变更、端口扫描等安全事件。配合简单的告警规则，当检测到异常活动时，系统可以通过邮件或推送通知您。这是专业网络安全监控的家庭级实现。
使用 ipinfo.im 检查你的网络安全状态
在完成上述安全加固步骤后，您可以使用 ipinfo.im 来验证您的网络安全配置是否生效：
检查公网 IP 暴露情况
访问 ipinfo.im，查看您当前的公网 IP 地址和 ISP 信息。如果您配置了 VPN，页面显示的应该是 VPN 服务器的 IP 而非您的真实 IP。同时，检查是否有 IPv4 和 IPv6 双栈暴露的情况——有时即使 IPv4 通过了 VPN，IPv6 流量可能仍在走直连路径，造成 IP 泄露。ipinfo.im 的双栈 IP 检测功能可以帮助您快速发现这类问题。
验证 DNS 配置
通过查看 ipinfo.im 返回的网络信息，您可以确认您的流量是否经过了预期的网络路径。如果 ISP 信息与您的实际运营商不符，可能表明 DNS 已被劫持或流量被重定向。结合路由器管理界面中的 DNS 设置检查，确保您的网络请求没有被恶意篡改。
记住，网络安全不是一次性的工作，而是需要持续维护的过程。建议您每季度按照本文的安全检查清单对路由器进行一次全面检查，确保您的家庭网络始终处于安全状态。