2013年中国家用路由器安全报告

2013年

中国家用路由器安全报告

2013年10月30日

摘要

✧绝大多数网民只知道需要设置WiFi密码，却不知道应该如何设置路由器管理密码。根

据用户调查和“360WiFi体检”检测情况，没有更换路由器出厂时默认管理帐号和密码的比例高达98.6%；

✧如果路由器没有更换出厂默认管理帐号和密码，就可能被黑客通过CSRF（跨站请求伪

造）攻击手段篡改DNS网络设置。经360分析检测的344款无线路由器型号中，有104个型号存在此类“弱密码漏洞”，占比达到30.2%；

✧自今年6月份以来，360安全中心已经拦截到多次大规模的路由器黑客攻击事件，黑客

攻击手段主要是入侵高流量网站植入恶意脚本。如果网站访问者没有更换路由器管理密码、没有开启360网盾防护、同时又是存在“弱密码漏洞”路由器的用户，就会被恶意脚本自动篡改DNS等网络设置；

✧从黑客攻击者篡改DNS设置的目的上来看，49.5%是为了推送色情网页和游戏广告；

28.0%是为了劫持电商网站、网址导航、搜索引擎等网站赚取推广佣金；

✧在DNS设置被篡改的用户中，70%以上指向了境外恶意DNS服务器。其中韩国最多，

美国和日本次之。而广东湛江、浙江绍兴和安徽铜陵则是恶意DNS服务器在内地的三大源头。

关键词：路由器、DNS、WiFi、密码、CSRF攻击

目录

第一章数据来源及说明 (1)

第二章路由器密码安全性统计分析 (2)

一、W I F I密码安全性分析 (2)

二、账号管理密码安全性分析 (3)

三、路由器密码设置建议 (4)

第三章CSRF攻击与DNS篡改统计分析 (5)

一、CSRF漏洞与漏洞攻击 (5)

二、路由器DNS篡改统计分析 (5)

三、路由器安全防护建议 (7)

第一章数据来源及说明

本次报告的样本数据来自360安全卫士“WiFi体检”功能的用户体检改善计划结果反馈和360论坛用户反馈与调查。为保证数据统计的准确性与客观性，本次报告针对2013年9月的WiFi体检结果进行了随机抽样统计，共包含国内34个省、直辖市、自治区和特别行政区，合计7,001,504次的数据样本统计。下表根据WiFi体检的多少排序，给出了各地区的样本量分布。

地区广东浙江江苏山东河北河南北京数量987665 592929 523194 409150 366202 358979 353696 比例14.1% 8.5% 7.5% 5.8% 5.2% 5.1% 5.1% 地区四川福建湖北上海辽宁湖南安徽数量303390 302600 278009 263357 213437 206438 162338 比例 4.3% 4.3% 4.0% 3.8% 3.0% 2.9% 2.3% 地区山西江西陕西云南重庆黑龙江吉林数量156668 150396 146598 140403 130155 128233 124677 比例 2.2% 2.1% 2.1% 2.0% 1.9% 1.8% 1.8% 地区天津贵州甘肃广西内蒙古海南新疆数量122132 93672 59383 165303 122807 36066 62330 比例 1.7% 1.3% 0.8% 2.4% 1.8% 0.5% 0.9% 地区青海宁夏香港台湾澳门西藏

数量10930 19804 6219 1827 1327 1190

比例0.2% 0.3% 0.1% 0.0% 0.0% 0.0%

表1 ：WiFi体检人次数地域分布

1

第二章路由器密码安全性统计分析

随着家用电脑、笔记本、智能手机、平板电脑和智能电视的普及，通过无线路由器接入互联网的设备越来越多。家用无线路由器已经成为各种智能设备上网的必要通道。而随着今年以来，各种针对路由器的攻击手法被曝光，路由器的安全性受到业内越来越多的关注。

家用无线路由器的密码设置是其安全性的重要保证。一般来说，家用无线路由器有两个重要的密码：一个是WiFi密码，一个是路由器管理密码。

WiFi密码用于管理电脑、智能手机、平板电脑、PSP等无线设备的接入。如果WiFi密码被破解，他人就能轻易的获取到用户上网资源，也就是俗话说的“蹭网”。

路由器管理帐号和密码是登录路由器时需要输入的帐号和密码，用于进行路由器上网账号、WiFi密码、DNS等各项设置的管理。该密码拥有路由器的最高管理权限，一旦被破解，他人可以随意对路由器各项设置进行篡改，劫持用户访问钓鱼网站（输入网址A、实际打开的却是网址B），并能够通过上网数据包窃取到用户账号密码、QQ聊天记录、网购交易流程、网银账号密码等。

一、WiFi密码安全性分析

WiFi体检显示，99.2%的家用无线路由器用户给自己的路由器设置了WiFi密码，没有设置任何密码的比例仅为0.8%。但是在香港、台湾和澳门地区，没有设置WiFi密码的用户比例分别高达5.3%，3.9%和2.7%，分别为全国平均水平的6.6倍，4.9倍和3.4倍。

相比之下，内地用户不设置WiFi密码的比例则普遍较低，比例最大的河北，山东和江苏分别只有1.3%、1.2%和1.1%，而比例最低的辽宁、湖北和广东则分别为0.6%，0.6%和0.5%。

需要说明的一点是，平均99.2%以上的用户会设置WiFi密码，并不能充分说明所有用户都有足够的无线安全意识。大量相关的用户调查都显示，很多用户习惯设置比较简单好记的WiFi密码，这样很容易被一些自动破解工具在短时间内暴力破解，事实上仍然很不安全。常见的WiFi密码设置不良习惯包括：简短的数字组合、电话号码、生日等容易被暴力破解或猜破的密码。

下图是没有设置WiFi密码的地域分布统计详情（即空密码可以接入Wifi网络）。

2

3

WiFi 密码最常见的加密认证方式有三种，分别是WPA 、WPA2和WEP 。其中，WEP 加密认证的加密强度相对较低，最容易被黑客破解，因此，WEP 加密认证方式在绝大多数的新型家用无线路由器中已不再使用，但在一些型号相对较老的路由器中仍有使用。统计显示，全国仍有0.7%路由器使用WEP 加密认证，其中香港、台湾、澳门用户使用WEP 加密认证的用户比例也最高，分别占到当地体检用户总量的3.2%，3.1%和1.7%。

综合不设置WiFi 密码和使用WEP 加密认证方式的用户统计结果来看，香港、台湾和澳门地区应该是全国蹭网成功率最高的地区。

二、 账号管理密码安全性分析

360安全卫士的WiFi 体检功能在体检过程中包含一项弱密码测试，即使用路由器出厂

4 默认的帐号和密码（如admin 、ROOT 、password 、123456等）对路由器进行匹配测试，如果匹配成功，则说明该路由器的设置存在弱密码风险。

与绝大多数用户会设置WiFi 密码的情况截然相反，国内用户修改或重新设定路由器管理帐号和密码的比例则少得可怜。统计显示，全国98.6%的家用无线路由器存在弱密码风险，其中，上海、香港、浙江三地的比例最高，分别高达99.5%、99.5%和99.4%；虽然宁夏、新疆和内蒙古地区的比例最低，其占比也高达97.7%、96.3%、72.0%；而其他各地区的统计结果均在98%以上。其中，内蒙古地区是该项统计中唯一一个比例低于90%的省级行政区。使用出厂默认管理帐号和密码的比例如此之高，给黑客攻击大开方便之门。

事实上，“重WiFi 密码，轻管理密码”的观念是对于路由器安全设置的一个严重的认识误区，也是今年以来路由器攻击事件得以大规模爆发内在原因。通过用户调查，我们了解到，产生这种认识的原因主要有以下两个方面：

1） 很多人之所以会设置WiFi 密码，主要目的是为了防止别人蹭网，而对路由器被攻击后可能给自己带来的安全风险则毫不知情。

2） 有些用户虽然能够意识到路由器被攻击的风险，但却错误的以为，只要别人无法破解WiFi 密码，就无法登录路由器，因此，即使不修改路由器管理密码也不会被攻击。

但事实上，家用无线路由器一般是通过有线网络与整个互联网相链接的。因此，黑客可以入侵路由器的方式和方法实际上有很多，包括浏览网页就中招（网页中植入CSRF 攻击脚本），还有先入侵用户电脑，再通过中招电脑控制路由器等。特别是今年二季度，针对路由器CSRF （Cross-Site Request Forgery ，跨站请求伪造）漏洞的攻击方法曝光，使得弱密码风险更加严峻。

三、 路由器密码设置建议

那么，如何设置路由器的密码才能更好的保护自己的安全呢？下面几点建议可以参考。 首先，应为路由器设置一个足够复杂的管理员帐号和密码，即使不容易记忆也没有关系。因为路由器一旦设置好，通常很少会去修改，而且安全浏览器还会智能加密保存登录帐号和密码，所以即使把帐号和密码设置的复杂一些，也不会影响自己的日常上网。如果登录路由器时确实忘记了帐号和密码，还可以通过复位键非常容易的恢复成出厂设置。

第二，WiFi 密码设置应尽可能选用WPA2加密认证方式，而且密码长度至少要在10位以上，包含字母、数字和特殊符号的组合。如果经常发现自家网络不畅，可能被蹭网，则需要经常更换WiFi 密码。

下面几条是一些比较高级的设置方法，虽然安全性好，但相对有些复杂，对于电脑操作比较熟练的用户可以参考。

第三，将路由器管理的默认IP 地址（192.168.1.1、192.168.0.1等）修改为自己设定的特殊IP 地址，这样可以大大降低CSRF 等自动攻击的成功率。

第四，开启路由器MAC 地址过滤功能，只允许已知的设备才能接入路由器。

第五，关闭路由器SSID 广播，减少被黑客发现的几率。但此设置也会导致使用不便。

第三章CSRF攻击与DNS篡改统计分析

一、CSRF漏洞与漏洞攻击

CSRF攻击是目前最为流行的路由器攻击方式之一。黑客通过CSRF漏洞攻击能够越过WiFi密码的验证，直接入侵用户路由器管理界面，对路由器DNS、管理密码等设置进行篡改。同时，在近日的拦截中还发现，黑客们的CSRF攻击手法已经升级，不但可以进行上述篡改，还能够直接修改用户路由器默认的管理端口。

进入今年第三季度以来，360互联网安全中心已经拦截到多次大规模CSRF漏洞攻击事件：

7月，大量网友反馈，打开多玩“英雄联盟盒子”后自动弹出色情网页；

8月，大量网友反馈，访问QQ空间，打开的却是假冒的《中国好声音》中奖页面；

9月，西陆网被植入恶意脚本，导致大量用户路由器被攻击；

10月，某汽车网站被嵌入CSRF恶意攻击代码，大量用户路由器DNS遭篡改。

针对市面上主流的344款路由器进行检测分析（不同固件版本的同种路由器也视为不同型号的路由器进行统计分析），共有104个型号的路由器容易被常见的CSRF攻击、或DNS、DHCP等设置被篡改，占型号总数的30.2%。

其中，TP-Link被检出61个型号的产品容易遭到攻击和篡改，数量最多；Fast（迅捷）被检出19个型号的产品容易被攻击，占其所有被检测型号的45.2%，比例最高。详见表2。需要说明的是，被检测出遭攻击的路由器型号一般带有CSRF漏洞，但未被检出的路由器型号，不能确保一定没有CSRF漏洞或不会被攻击，只是暂时没有通过常见的黑客攻击脚本触发。

路由器品牌检测机型数被黑机型数被黑机型比例

TP-Link 163 61 37.4%

Mercury（水晶）46 19 41.3%

Fast（迅捷）42 19 45.2%

其他品牌93 5 5.4%

总数344 104 30.2%

表2 路由器被黑机型统计

二、路由器DNS篡改统计分析

CSRF攻击的一个重要目标就是篡改路由器的默认DNS设置，从而实现劫持网站、插入广告、诱导用户进入钓鱼网站以及屏蔽安全软件的升级、云安全查询等目的。路由器的DNS设置被篡改后，用户上网时往往会出现知名网站弹出可疑广告、网站地址和网页内容明显不符、上网速度异常变慢、路由器管理端口遭到修改等现象。特别值得注意的是，路由器DNS被篡改后，不但影响电脑上网，也会影响到与之连接的手机、Pad等移动设备。

通常来说，路由器的默认DNS设置应当是运营商自动分配的，也有一些用户会手动将DNS服务器设置为某些互联网公司或电信公司提供的其他公开的DNS服务器。如果用户路由器中的DNS设置既不是运营商自动分配的，也不是公开已知的其他DNS服务器，则

5

6 360WiFi 体检会判断该路由器的DNS 设置存在风险，需要用户选择是否修复。

统计显示，云南（5.4%）、甘肃（5.4%）、河北（5.3%）、四川（5.3%）和贵州（5.3%）等地的路由DNS 设置被篡改的情况最为严重。被篡改比例在5%以上的省级行政区还有新疆、山西、天津、陕西、湖北和西藏等6个地区。内蒙古（3.9%）、澳门（3.0%）、上海（2.9%）、台湾（1.5%）和香港（1.3%）地区的DNS 设施被篡改的情况最少，其中，台湾和香港被篡改的比例都在2%以下。其余的省级行政区，DNS 设置被篡改的比例均在4%~5%之间。

在DNS 设置被篡改的用户中：70%以上指向了境外恶意DNS 服务器，其中韩国（52.0%）最多，美国（11.1%）和日本（10.0%）次之；而广东湛江（4.9%）、浙江绍兴（4.2%）和安徽铜陵（4.0%）则是恶意DNS 服务器在内地的三大源头。

从篡改DNS 设置的目的来看：49.5%的篡改是为了向用户推送色情网页和游戏广告；28.0%的篡改是为了将淘宝等电商网站劫持到付费推广页面，从而骗取推广佣金。还有22.5%的其他各类劫持，如将正规网站的访问请求劫持到钓鱼网站或挂马网站，将360导航页劫持到其他导航页等等。除此之外，很多DNS 篡改还会封堵安全软件的云查询服务和软件升级，从而将用户电脑置于无法获得联网安全服务的极其危险的状态。

7 关于“推广佣金”：很多网店会通过搜索引擎、网页广告或软件广告等方式进行推广。如果消费者点击了这些推广信息进入网店，并在一定时间内在该网店消费，那么店家就需要将消费款中的一部分作为佣金支付给推广信息提供者。而用户如果是通过非推广渠道进入网店并消费，店家则无需向任何人支付佣金。

但是，如果路由器的DNS 遭到了恶意篡改，当用户通过普通途径打开网店时，地址解析的结果就会将用户的访问请求强制引导到某个推广链接，之后再跳转到这家网店。这样一来，用户本应直接进入的网店，就变成了从推广链接打开的网店，店家也因此就要向虚假的推广者支付本不必要的佣金。

以往，类似的劫持大多是通过木马病毒来实现的。但现如今，路由器的DNS 篡改则更加简单，且不易被发现。

三、 路由器安全防护建议

修改路由器的管理密码和WiFi 密码可以大大降低黑客对家用无线路由器的攻击成功率。前述的开启路由器的MAC 地址过滤功能，打开路由器自带的防火墙功能，关闭路由器的SSID 广播等也会对路由器的安全防护起到很大的作用。

对于不确定自己的路由器设置是否安全的用户，还可以选择新版360安全卫士自带的“WiFi 体检”功能，定期对路由器进行体检，及时发现并修复安全隐患，有效防御黑客攻击。

对于路由器厂商来说，我们建议在路由器设计中增加密码修改提醒或强制修改管理密码等安全措施。即对于没有修改过管理帐号和密码的用户，在其每次登录路由器时，都应给出明显的风险提示，甚至是强制要求用户设定新的管理帐号和密码。这样才能更好的保护路由器安全。我们注意到，市场上已经有某些新型路由器采用了类似的安全策略。