专栏首页大数据文摘家用路由器,已遭黑客攻击!

家用路由器,已遭黑客攻击!

知道创宇安全研究团队联合央视做了关于家用路由器安全的专题“路由器暗埋网络安全地雷”已在CCTV13播出,最新的家用路由器攻击已经开始盯上网银了。而中国电信的安全团队(SOC)在去年也曾携手腾讯、阿里、百度、新浪、奇虎等小伙伴们,针对家庭宽带用户路由器DNS配置被劫持问题发出过预警,下图摘自中国电信2月28日官微。

这些漏洞的攻击方式大概两类: (1)用户上网过程中,访问一个恶意链接,路由器即被黑; (2)路由器公网 IP 暴露,黑客通过远程就能直接黑掉路由器;

我们知道一个攻击要风靡,不仅是在「学院」或「实验室」里进行概念验证,一旦工业化就会流行,今年有个非常重要的趋势:黑产盯上了家庭 / 公司路由器,通过漏洞技巧去篡改这些路由器的 DNS 服务器。这意味这:

用这个路由器上网的一批用户都被「劫持」了;上网流量被劫持,意味着上网隐私没了,密码、证书等都可能泄露;返回的页面可能被篡改植入广告、挂上木马之类的;

下面特别八卦八卦 TP-Link 与 D-Link 这两款国内最普遍的家用路由器。

1. TP-Link 路由器 DNS 劫持事件

这是近一年都在流行的攻击事件,危害很广。百度搜索上线了一个非常重要的策略,如果发现有网站被植入恶意篡改用户路由 DNS 的代码时,就会拦截页面,打出提示。据安全联盟的统计发现过万的网站被黑,植入了路由 DNS 劫持代码,这个数量非常之大。我身边已经有几位同学来和我说自己被劫持了,都只普通的网民。

说明路由 DNS 劫持攻击已经在风靡。

过去一段时间,我们团队就捕获了至少 5 个变种。这类攻击的模式一般是:

攻击者黑下一批网站;

攻击者往这批网站里植入路由 DNS 劫持代码(各种变形);

攻击者传播或坐等目标用户访问这批网站;

用户访问这些网站后,浏览器就会执行「路由 DNS 劫持代码」;

用户的家庭 / 公司路由器如果存在漏洞就会中招;

用户上网流量被「假 DNS 服务器」劫持,并出现奇怪的广告等现象;

虽然这次攻击主要针对 TP-Link 路由器,不过中招的路由不仅 TP-Link。我们捕获的样本还发现其他的。

2. D-Link 路由器后门

除了 TP-Link 被以这样的方式攻击外,D-Link 的攻击一般是 D-Link 后门:只要你的路由器有公网 IP,通过互联网可以访问到,黑客就可以直接进入你的路由器,并完全控制。

关于 D-Link 后门的科普图,大家可以看这里,了解个大概,非常有趣。

ZoomEye 团队前段时间绘制出了全球存在 D-Link 后门的受影响路由分布。如下图:

可以看到,全球的影响面,简直就是:黑遍全球……

注:针对家用路由器的攻击还在不断升级,我随时更新该回答。

针对广大用户,最靠谱的解决方案在这:

(一) 解决方案适合条件: 1. 如下路由器一般情况下都适合: TP-Link、D-Link、Apple的、华为的、中兴的、Tenda、极路由、小米路由、360的、磊科的、Linksys、Netgear、思科的、其它……

2. 如果使用了一些高级的漏洞,我到时候会及时预警,到时候你该换路由器就换个吧。

(二)解决方案:

1. 检查DNS是否正常

拿TP-Link举例,浏览器访问http://192.168.1.1(一般是这个,除非你改了),输入账号密码登录->网络参数->WAN口设置->高级设置->看看里面的DNS的IP是否勾选了“手动设置DNS服务器”。

->如果勾选了,说明你人工设置过。如果你并没人工设置过,那就得警惕是否被黑客篡改了。 ->如果没勾选,一般没事。 ->检查DNS IP是否正常:在百度上搜索下里面的DNS IP看看是不是国内的,如果是国外的得警惕,除非是Google的8.8.8.8这个,看看百度的搜索结果有没有谁讨论过这个DNS IP的可疑情况,有些正常的DNS IP也会有人讨论质疑,这个自己判断下,实在没把握你就设置DNS IP如下:

主DNS服务器为:114.114.114.114,备用DNS服务器为:8.8.8.8。

对于TP-Link还有一处设置DNS的地方:DHCP服务器->一般这里显示的是0.0.0.0,如果不是,则按上面方式检查下DNS IP是否正常。

(这里大家注意下:修改DNS请修改DHCP服务器里的,当DHCP没有设置DNS的时候,是继承WAN口的DNS的。如果DHCP设置了DNS,WAN口怎么改都没有用的,改WAN口可能导致别人网络故障,这个我不清楚。感谢@iceyes汪利辉 的提醒。顺便八卦下iceyes的路由安全也是研究很深入的。)

其他品牌的路由器类似这样的方法去做,这个自己摸索啦,很简单的。

如果发现被攻击的痕迹,重置路由器是个好办法,然后再进入下面步骤。

2. 修改路由器Web登陆密码

路由器一般都会有Web管理界面的,这个管理界面的登陆密码一定要记得修改。一般情况下,默认用户名是admin,密码是admin,把密码修改复杂点就行。

还是以TP-Link举例,浏览器访问http://192.168.1.1(一般是这个,除非你改了),输入账号密码登录->系统工具->修改登陆口令->然后你修改吧。

其他路由器类似,自己摸索。

3. 自己电脑配置好DNS

自己的电脑当然可以配置好DNS,这样就可以忽略路由器的各种DNS配置,你的上网请求会优先选择你本机的DNS配置,意味着路由器DNS劫持和你没任何关系。

不过得注意,你的路由器是不是只有你自己的电脑连接,你的手机呢?你的Pad呢?你的家人呢?每个都配置,多麻烦,所以还是照顾好路由器吧。

现在普遍信任的DNS服务器是,国内的114.114.114.114,国外Google的8.8.8.8,但如果这两个受信任的DNS服务器有猫腻的话,比如抓取用户上网隐私,然后牟利分析,那我们一定要曝光并狠狠抗议之- -!!!

完成1、2、3这几步后,就可以对抗近一年流行的路由器DNS劫持攻击了。

我更担忧的是高级攻击的到来,固件安全是个大话题,不仅路由器,还有网络摄像头,还有一些智能家居设备等,我给出的防御方案只是针对某种流行类型的,指不定下次会有新的流行方式出来。

黑客间的对抗一直在激烈进行,持续升温,你攻我防,你再攻我再防,一劳永逸是不可能的,唯有持续跟进。

本文分享自微信公众号 - 大数据文摘(BigDataDigest)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2014-03-02

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 特征工程:数据科学家的秘密武器!

    大数据文摘
  • 中学生利用LinkedIn数据选择心中的大学

    大数据文摘
  • 德勤预测:6项改变商业结构的数据分析趋势

    大数据文摘
  • Mac下实现超快捷切换DNS

    在有些情况下,我们需要切换DNS来实现一些处理。但是频繁的进入设置-网络 的确很麻烦,于是再次朝着脚本的思路想了想,发现还是可以实现的。下面的脚本就能便捷的实现...

    技术小黑屋
  • linux 修改DNS解析

    最主要是nameserver关键字,如果没指定nameserver就找不到DNS服务器,其它关键字是可选的。

    solate
  • 去除文件中<feff>

    最近生成的文件中出现了<feff>乱码,而且单个文件中出现不止一次,在vim中打该文件显示<feff>,而在idea中则显示一个“-”,对数据处理造成了极大的困...

    休辞醉倒
  • Ehcache配置+Spring 原

    以下内容是根据JSR107-Java-Caching-API,加上平时的使用总结的。

    克虏伯
  • 域名劫持事件发生后的应急响应策略

    Morphus实验室讲述了这样一个故事,在某周六的早上,你作为一家大公司的CSO(首席安全官),突然开始收到了雪片般飞来的消息。他们告诉你有游客在访问了你公司的...

    FB客服
  • 关于8月31日维基解密被攻击的观察与分析

    十几天前,维基解密遭受了一次攻击,导致很多访问者看到了“OurMine”的声明,他们声称已经获取了维基解密服务器的控制权。这次攻击之后,很多人(包括维基解密的粉...

    FB客服
  • springmvc之配置拦截器拦截相应的请求

    在<mvc:mapping path="/emps"/>中可以配置拦截的url地址。

    绝命生

扫码关注云+社区

领取腾讯云代金券