2016年10月21日，器固美国东海岸的器固互联网几乎瘫痪了。Twitter刷不出来，器固Netflix打不开，器固PayPal支付失败。器固Dyn是器固一家做DNS解析的公司，它的器固服务器被海量垃圾流量淹没了。事后追查发现，器固这些流量来自全球数十万台被感染的器固物联网设备——摄像头、打印机、器固恒温器。器固而它们之所以被感染，器固是器固因为一个叫Mirai的恶意软件利用了路由器和其他设备固件中的默认密码漏洞。

这事让我意识到一个问题：我们每天用的器固路由器，其实是器固一台小型计算机。它有CPU、内存、操作系统。只不过这个操作系统是固化在闪存里的，我们叫它固件。固件出了问题，路由器就成了别人手里的肉鸡。

我拆过一台2018年买的家用路由器。打开外壳，主板上焊着一颗128MB的闪存芯片，旁边是128MB的内存。系统是裁剪过的Linux。厂商最后一次更新固件是在2019年3月。之后再也没有动静。这台设备至今还在很多家庭里跑着，连接着智能电视、手机、电脑。它跑着一个四年没打过补丁的Linux内核。

路由器固件漏洞的来源大致有几个方向。最常见的是厂商直接拿芯片厂商的SDK改一改就出货。Realtek、Broadcom、Qualcomm这些芯片厂提供的参考固件里，往往带着调试后门、硬编码密码、过时的busybox组件。厂商懒得清理，因为清理要花钱。另一个来源是Web管理界面。很多路由器的后台是用CGI写的，参数过滤不严，命令注入一抓一个准。你访问一个特制的URL，路由器就会以root权限执行你想要的命令。

2019年，安全研究员在TP-Link的SR20路由器固件里发现了一个漏洞。攻击者可以通过局域网发送一个特殊的数据包，不需要密码就能拿到root shell。TP-Link发了补丁，但只针对部分型号。很多用户根本不知道自己的路由器有这个问题，也从来没想过要去官网下载固件更新。路由器的管理后台默认地址是192.168.1.1，但大部分人买回来插上电就再也没登录过。

更麻烦的是，很多ISP（互联网服务提供商）给用户的光猫路由一体机，固件由ISP远程管理。用户没有权限更新，ISP又缺乏动力去推补丁。一个漏洞从披露到修复，拖上一年半载是常事。这期间，攻击者可以慢慢扫描、慢慢利用。

我自己的做法是：不买那些从来不更新固件的品牌。买之前去官网看有没有固件下载页面，看最近一次更新是什么时候。如果最近一次更新是三年前，直接跳过。另外，把路由器的远程管理功能关掉，改掉默认管理员密码，关闭WPS。这些操作花不了十分钟，但能挡住大部分自动化扫描工具。

固件漏洞不像手机系统漏洞那样引人关注。手机厂商会推送更新，会弹窗提醒你。路由器不会。它安静地蹲在角落里，闪着小灯，直到某天你的网络突然变慢，或者你的银行账号在异地登录。那时候你才会想起来，那个小盒子好像从来没更新过。