波仔
🛡️ 第三章 计算机病毒与间谍软件
📄 一句话概括

物联网设备（路由器、摄像头、录像机、光猫、智能家电）是一台完整的小电脑——有 CPU、有操作系统、有网络、常常还有一个从出厂那天起就没改过的口令；于是它成了攻击者眼中成本最低、被发现得最晚、责任最容易被推给房主的一类受害者。

📝 本节和前面几节的关系

前面九节讲的都是【你的电脑出问题】。这一节把同一个问题搬到另一种设备上，然后你会发现：3-1 里蠕虫那套【自己找下一个目标、不需要人操作】的传播方式，在物联网设备上是完全体——因为这里没有【诱惑你点开】这一步了（没有浏览器、没有人坐着看屏幕），只有【自动扫描 + 自动爆破】。

它也是 3-3 的边界情况的极端版本：这类设备上通常装不了任何杀毒软件——没有图形界面、没有厂商支持、你甚至不知道它的操作系统叫什么名字。于是【防御】这件事，只能靠你在它出厂时做的那几个动作。

一、Mirai 之后：为什么物联网设备成了主战场

教材把这个问题放在最后讲，是有道理的：它把前面所有的攻击技术，落到了防御最薄弱的那些设备上。

要先建立一个认识：【物联网设备】听起来是个新词，但它在安全上其实就是一台小电脑。

你以为 实际上
一个路由器 一台跑着 Linux、开着 Web 管理页、有公网地址的小服务器
一个网络摄像头 一台跑着嵌入系统的电脑，带 Web 服务、常带默认口令
一个智能音箱 / 插座 一台会联网的计算机，固件由厂商单方面更新
一台光猫网关 一台长期在线、常开远程管理、密码贴在机身标签上的网关

它们的共同点是：没有人管它。 公司里的一台服务器有补丁流程、有日志、有专人；而你家里的路由器从装上那天起，你唯一做过的操作大概就是连上 Wi-Fi 输了一次密码——管理员口令是不是还是 admin，你不知道，也没人会提醒你。

这就是 2016 年 Mirai（一个专门攻击物联网设备的僵尸网络病毒）源码公开之后发生的事：它变成了一类模板——后来源码被改出数百个变种，攻击手法却没怎么变。教材讲这一节，讲的其实不是【一个新病毒】，而是【一类会长期存在的问题】。

二、它靠什么进来：一份默认口令表 + 一次敲门

物联网设备病毒不需要你点任何东西。它的【入侵】过程只有两步：

  1. 扫描：在全网范围内找开着特定端口的设备（比如网页管理端口、调试端口）；
  2. 敲门：拿一份默认口令表挨个试一遍——试对了就进去，试不对就换下一台。

注意第二步的性质：它试的不是你的【密码】，是【这台设备的出厂密码】。 这跟 3-4 里讲的【钓鱼要让你亲手交出密码】完全不同——这里根本不需要骗任何人，因为很多设备的口令就写在说明书和机身标签上。

所以这一类的防御动作，也简单得不像是安全措施：

这三条我们在 无辜的人变成犯罪者 里见过同一张清单——弱口令、长期不打补丁、暴露在公网。物联网设备只是把这三点同时做到了极致。

三、动手 Demo：一台设备失守之后

下面这段脚本模拟【一台路由器被自动爆破、并被纳入僵尸网络】的完整过程，输出全部来自沙箱实跑：

# 出厂默认口令（示意）—— 爆破要试的就是这些，不是你的密码
defaults = [
    ("家用路由器 A", "admin / admin", "1 秒"),
    ("家用路由器 B", "admin / 1234", "1 秒"),
    ("网络摄像头", "admin / 空口令", "1 秒"),
    ("录像机 NVR", "admin / admin123", "1 秒"),
    ("光猫网关", "useradmin / 出厂标签", "1 秒"),
    ("调试服务 ADB", "无需认证（只要端口对公网开着）", "不用试"),
]
# 进来以后干什么
acts = ["加入僵尸网络（替它发流量）", "当代理跳板（溯源指向你家 IP）",
        "挖矿（电费你付、收益它拿）", "横向扫内网（以它为跳板扫你别的机器）"]
# 结论：爆破成本只跟【是不是默认口令】有关，跟口令长度几乎无关

实跑输出：

一、一条从 2016 年延续到今天的线
  2016 年       Mirai 源码被公开 → 此后被改出【数百个变种】
  2026 年活跃的 Aisuru/TurboMirai、Kimwolf、Eleven11bot、ShadowV2
  2026-03       多国执法摧毁 Aisuru、Kimwolf、JackSkid、Mossad，涉 300 万+ 设备
  之后          Kimwolf 分裂成 20+ 个竞争僵尸网络；
                日活被控终端从约 100 万涨到 800 ~ 900 万
  → 打掉一个不等于解决一类：源码在手，重建只是时间问题。

二、它靠什么进来：一份默认口令表 + 一次敲门
  某品牌路由器 / 摄像头的出厂默认口令（示意）：
  设备 / 服务       默认口令                            试一次要多久
  ----------------------------------------------------------------------------------------------
  家用路由器 A      admin / admin                       1 秒
  家用路由器 B      admin / 1234                        1 秒
  网络摄像头        admin / 空口令                      1 秒
  路由器 C          root / root                         1 秒
  录像机 NVR        admin / admin123                    1 秒
  光猫网关          useradmin / 出厂标签                1 秒
  调试服务 ADB      无需认证（只要端口对公网开着）      不用试
  数据库/服务器     root / 123456                       1 秒

  按每秒试一个算：
    8 个默认口令全试一遍          → 8 秒
    再补一本 1 万条的常用口令字典 → 约 2.8 小时
    换成 8 位随机口令（大小写+数字）→ 天文数字（不在一个量级）
  → 结论一句话：【弱口令爆破的成功率，跟口令长度几乎无关，
    只跟【是不是默认口令】有关】。

三、进来以后干什么
  用途          说明
  ----------------------------------------------------------------------------------------------
  加入僵尸网络  你的设备替你发攻击流量（一次峰值可以到 Tbps 级）
  当代理跳板    把攻击流量从你家 IP 出去，溯源指向你
  挖矿          电费归你、收益归他（2026-07 国内通报：一个挖矿僵尸网络累计感染 1.6 万台，单日最高上线 2,511 台）
  横向扫内网    以这台设备为起点，扫你家里/单位里别的机器

四、一个触目惊心的暴露面数字
  ADB 调试服务暴露在公网    绝大多数跑在 5555 / 5037 默认端口上
  GPON 光网关登录页暴露     约 117,000 个（本应只在首次配置时用）
  → 这些登录页【本来是给新用户配置用的】，配完就该关掉。

读这个输出：

四、⚠️ 2026 现状

30 秒实验

今天做两个动作，各 15 秒：

  1. 去改掉你家里路由器（或光猫）的管理口令：浏览器输入网关地址（常见是 192.168.1.1 或 192.168.0.1，或直接看路由器背面标签）→ 用出厂口令登录（如果从来没改过，大概就是 admin 或背面的那串）→ 找到【系统设置/管理】里的管理员密码，改成一个你自己记得住、但不在说明书上的口令。改完把新口令记在只有你能看到的地方。
  2. 做一次【关掉不需要的入口】的巡检：在同一个管理页面里找到远程管理 / 端口映射 / UPnP / 调试服务这几项——凡是你说不出为什么要开着的，全部关掉。特别是：不要为了【在外面也能看家里的摄像头】就把端口映射出去，那等于把摄像头挂到公网上。

这一节要带走的一句是：【我的设备被入侵了】这件事，在物联网上通常不是因为攻击者有多厉害，而是因为那台设备从出厂那天起，口令就没变过。

常见误区

  1. 错误：物联网设备不算电脑，被入侵了顶多是被别人拿去用一下。——纠正：它是电脑，而且是你家里【最靠近网络出口】的那台电脑。 它的位置决定了后果的严重性：它坐在你所有设备的入口处，一旦失守，攻击者拿到的是一个能看见你全部内网流量的据点（可以拿来横向扫描你家里的电脑和 NAS）。【被别人拿去用一下】的真实含义是【把你家的网络当成跳板】——而攻击记录上的 IP 是你家。

  2. 错误：我的路由器密码是我自己设的 Wi-Fi 密码，很复杂。——纠正：Wi-Fi 密码和管理员密码是两个完全不同的口令。 Wi-Fi 密码管的是【谁能连上这个网络】（在局域网内）；管理员密码管的是【谁能改这台设备本身】（通常在公网可达）。很多人只改了前者、后者一直是最初的出厂值——而爆破程序试的正是后者。 判断方法很直接：登录管理页面时输入的那个账号密码，才是需要改的那一个。

  3. 错误：这些设备我根本不知道怎么更新/改设置，那就算了。——纠正：恰恰因为难，所以【关掉不用的入口】比【修补】更该优先做。 面对一台配置界面复杂、厂商已不支持的旧设备，最实际的动作不是研究它怎么更新，而是把【暴露面】关小：改掉出厂口令 → 关掉远程管理与端口映射 → 把它放进单独的网段（2-13）。这三步都不需要厂商支持，也不依赖设备本身有没有漏洞——真正的安全边界，往往画在【谁能碰得到它】上，而不是【它有没有漏洞】上。

  4. 错误：僵尸网络被警方打掉就好了，跟我没关系。——纠正：执法是【清一波】，不是【关水龙头】。 2026 年那次行动的例子已经说明了：摧毁之后，被控终端的总量反而从百万级涨到了八九百万级——因为源码在手，且设备基数（几百万台默认口令设备）没变。真正让这个数字下降的，是每台设备的主人在出厂后做的那一个动作。 从这个角度看，【改掉路由器出厂口令】不是一件个人小事，它是在减少整个互联网上可被利用的终端基数。

自测三问（点开对答案） 1. 为什么【试 8 个默认口令只要 8 秒，而换成随机口令就天文数字】这句话，是本篇最该记住的一句？ —— 因为**它把【防御该做在哪一步】直接算出来了**。爆破的成本几乎完全由【**是不是默认口令**】决定，而**几乎不受【口令有多长】影响**——**只要设备用的还是说明书上的那一个，攻击者试到第 8 个就进来了，八秒钟。** 这意味着防御的收益也是不对称的：**改掉出厂口令这一个动作，把攻击成本从【8 秒】拉到【不在一个量级】**；而在此之上再加长口令，**边际收益小得多**。**这就是为什么【改默认口令】要排在固件更新、装安全软件之前——它是唯一一个【一分钟投入、挡住绝大多数自动攻击】的动作。**（也解释了为什么 2026 年还有几百万台设备被控：**绝大多数主人从没做过这一分钟的事。**） 2. 为什么物联网设备病毒【不需要你点任何东西】？这和前面讲的钓鱼型攻击有什么本质区别？ —— 因为**它的传播依靠【设备自己会说话】，而钓鱼依靠【人会点】**。电脑上装一个病毒通常需要一个环节——**你打开附件、你运行程序、你点了链接**；而物联网设备**没有浏览器、没有人坐在它面前、它 24 小时开着并且有网络地址**——**所以攻击者可以直接去敲它的门，不需要任何人的配合**。这带来的区别是**防御的落点不同**：**钓鱼型攻击的防御重点在【人的判断】（看发件人、看链接）**，而物联网攻击里**人的判断没有用武之地——没有人会【看到】那次敲门**。**你能做的只有事前把门锁好（改口令、关端口、隔离网段），而不是事后去识别【哪一次敲门可疑】。** 3. 为什么面对一台厂商已不支持的旧设备，【隔离】比【修补】更现实？ —— 因为**修补这条路在它身上已经关闭了**：**厂商不再提供固件更新**，设备上**装不了杀毒软件**（没有界面、没有生态、3-3 那套方法全部失效），**你甚至不清楚它跑的是什么系统。** 在这种情况下，安全工程里剩下的唯一有效手段就是**控制【暴露面】**：**改掉它的口令（关掉【自动爆破可进】这条路）、关掉它不用的远程入口（减少【能被碰到】的位置）、把它放进单独网段（限制【万一失守能波及到谁】）。** 这三件事的共同点是：**它们都不需要设备本身变好，只需要环境变好**——**而这个【环境】，恰好是完全在你控制之下的。** 这也是本篇真实想教的东西：**有些设备修不好，但可以管得住。**

相关笔记