去年冬天我在一个老旧小区做安防评估，器渗客户指着楼道里那台TP-Link说：“这玩意儿能出啥事？器渗”我没吭声，掏出笔记本接上网线，器渗十五分钟后他盯着屏幕上跳出来的器渗宽带账号密码，脸色变了。器渗那台路由器固件是器渗2019年的，WPS默认开启，器渗管理后台密码还是器渗admin。Kali里连漏洞扫描都不用跑，器渗wpspin直接怼进去就完事了。器渗

路由器渗透这事，器渗说白了就是器渗找入口。家用设备最常被忽略的器渗三个点：WPS、UPnP、器渗默认凭证。器渗WPS那个PIN码八位数字，前四位是固定的，后四位穷举也就一万种可能，reaver跑起来平均四到十小时。我试过最快的记录是四十分钟，那台水星路由器固件有缺陷，前四位直接泄露。UPnP更离谱，很多路由器默认开着，Kali里用miranda就能枚举出端口映射，运气好直接拿到内网某台设备的shell。

但真正让我觉得有意思的是中间人那套。ARP欺骗在Kali里就是条命令的事，arpspoof加上ettercap，整个局域网流量从你网卡过。有次在咖啡厅测试，连上WiFi后我把自己网关改成路由器地址，再开个DHCP服务，半小时内十七台设备自动连上来。手机、平板、笔记本，DNS请求全往我这儿跑。sslstrip一挂，那些没开HSTS的网站登录凭证直接明文落地。有个哥们儿在隔壁桌刷信用卡，页面跳转的时候我看到了卡号前六位——当然我没存，这是底线。

固件逆向是另一条路。很多路由器厂商的固件里藏着后门账户，比如某为某型号的telecomadmin，密码是admintelecom。binwalk解包，firmware-mod-kit改个root密码再刷回去，物理接触的情况下三分钟搞定。但远程就得靠漏洞了，CVE-2019-16385那种堆溢出，构造个恶意请求就能拿shell。Kali里searchsploit一搜一大把，问题是很多脚本是Python2写的，现在得手动改。

无线那一块，抓WPA握手包然后跑字典是常规操作。aircrack-ng配合hashcat，2080Ti跑八位纯数字也就两小时。但实际环境里密码往往是手机号后八位或者生日，我做过统计，百分之六十的弱密码跟用户信息直接相关。有次用社工库交叉比对，十分钟破了三个。所以我现在给客户建议就一条：密码别用自己记得住的，用密码管理器生成的。

防御其实简单得让人无语。关WPS、关UPnP、改默认密码、固件保持更新，这四步能挡掉九成以上的脚本小子。但现实是大多数人连管理后台都没进过。我见过最离谱的一台路由器，放在弱电箱里三年没重启过，固件版本还是2016年的，管理密码是password。那玩意儿被挂了两百多个恶意域名解析，主人完全不知道。

Kali只是个工具包，真正起作用的是思路。你知道路由器在干什么，知道数据包怎么走，知道协议哪里设计得偷懒，剩下的就是敲命令的事。别把渗透想得太玄，很多时候就是比谁更细心。楼道里那台TP-Link最后换成了企业级设备，客户问我还会不会被搞，我说看你怎么用。设备是死的，人是活的。