全球出貨超10億臺(tái)路由器的TP-Link，這次在4款企業(yè)級(jí)產(chǎn)品上栽了跟頭。Archer NX200、NX210、NX500、NX600四款型號(hào)被一次性曝出4個(gè)高危漏洞，CVSS v4.0評(píng)分全部標(biāo)紅。最諷刺的是，其中一個(gè)是開(kāi)發(fā)團(tuán)隊(duì)自己把鑰匙留在了門(mén)墊下面——硬編碼加密密鑰。

HTTP服務(wù)器"失憶"：沒(méi)密碼也能進(jìn)后臺(tái)

第一個(gè)漏洞像個(gè)漏風(fēng)的門(mén)衛(wèi)室。TP-Link的HTTP服務(wù)器在特定CGI端點(diǎn)上忘了做身份校驗(yàn)，攻擊者不需要任何賬號(hào)密碼，就能直接調(diào)用特權(quán)接口。

這意味著什么？攻擊者可以上傳惡意固件、篡改設(shè)備配置，把路由器變成自己家的設(shè)備。

CGI（通用網(wǎng)關(guān)接口）本是用來(lái)處理網(wǎng)頁(yè)請(qǐng)求的橋梁，但這里的橋沒(méi)有設(shè)卡。安全公告里的措辭很克制："未能執(zhí)行充分的認(rèn)證檢查"——翻譯成人話就是：門(mén)開(kāi)著，隨便進(jìn)。

企業(yè)級(jí)路由器通常被放在網(wǎng)絡(luò)邊緣，一旦這個(gè)入口失守，整個(gè)內(nèi)網(wǎng)就成了透明櫥窗。

命令注入：管理員權(quán)限成了雙刃劍

第二、第三個(gè)漏洞藏在無(wú)線控制和調(diào)制解調(diào)器管理的CLI（命令行界面）路徑里。已經(jīng)拿到管理員權(quán)限的攻擊者，可以通過(guò)構(gòu)造特殊輸入，讓系統(tǒng)執(zhí)行任意操作系統(tǒng)命令。

這里的風(fēng)險(xiǎn)模型很有意思：漏洞本身需要認(rèn)證，但認(rèn)證后的破壞力是"完全系統(tǒng)妥協(xié)"。

類(lèi)比一下，這就像你雇了個(gè)有鑰匙的管家，結(jié)果發(fā)現(xiàn)他不僅能開(kāi)門(mén)，還能把房子拆了重建。CLI本是給運(yùn)維人員用的后門(mén)，現(xiàn)在成了攻擊者的正門(mén)。

無(wú)線控制模塊和調(diào)制解調(diào)器管理模塊都中招，說(shuō)明問(wèn)題出在輸入處理的底層邏輯——用戶輸入沒(méi)有被正確清洗，直接拼進(jìn)了系統(tǒng)命令。

硬編碼密鑰：開(kāi)發(fā)者的"方便"成了攻擊者的方便

第四個(gè)漏洞最讓安全從業(yè)者搖頭。TP-Link在配置加密機(jī)制里埋了個(gè)硬編碼的加密密鑰，所有受影響設(shè)備用同一把鑰匙鎖門(mén)。

攻擊者只要拿到基礎(chǔ)訪問(wèn)權(quán)限，就能解密配置、修改內(nèi)容、重新加密，全程不留痕跡。

硬編碼密鑰是安全審計(jì)里的經(jīng)典反面教材。開(kāi)發(fā)團(tuán)隊(duì)當(dāng)初可能是為了調(diào)試方便，或者為了簡(jiǎn)化密鑰分發(fā)，但這條捷徑現(xiàn)在成了高速公路。配置數(shù)據(jù)里通常藏著WiFi密碼、VPN憑證、網(wǎng)絡(luò)拓?fù)湫畔ⅰ@些被篡改后，用戶根本察覺(jué)不到。

更麻煩的是，這種漏洞很難通過(guò)外部掃描發(fā)現(xiàn)。它不像HTTP認(rèn)證繞過(guò)那樣有明確的攻擊面，而是需要先有立足點(diǎn)才能觸發(fā)。但一旦觸發(fā)，就是降維打擊。

邊緣設(shè)備的"跳板效應(yīng)"

被攻破的路由器從來(lái)不會(huì)只當(dāng)路由器用。攻擊者的標(biāo)準(zhǔn) playbook 是：先拿下邊緣設(shè)備，建立持久化據(jù)點(diǎn)，然后橫向移動(dòng)。

從Archer NX系列出發(fā)，可以做的事情包括：攔截所有流經(jīng)的網(wǎng)絡(luò)流量，把DNS請(qǐng)求劫持到釣魚(yú)站點(diǎn)，或者掃描內(nèi)網(wǎng)尋找更有價(jià)值的目標(biāo)。企業(yè)環(huán)境里，這臺(tái)路由器可能是分支機(jī)構(gòu)連向總部的唯一通道——意味著一次入侵就能撕開(kāi)整個(gè)廣域網(wǎng)的口子。

TP-Link在公告里加了個(gè)備注：這四款型號(hào)不在美國(guó)市場(chǎng)銷(xiāo)售。這話的潛臺(tái)詞是"影響范圍有限"，但全球企業(yè)采購(gòu)渠道復(fù)雜，二手設(shè)備流轉(zhuǎn)更是難以追蹤。

補(bǔ)丁已經(jīng)發(fā)布，但補(bǔ)丁的覆蓋率永遠(yuǎn)是個(gè)謎。企業(yè)級(jí)設(shè)備的固件更新周期動(dòng)輒數(shù)月，有些部署在偏遠(yuǎn)站點(diǎn)的設(shè)備甚至沒(méi)人記得存在。

TP-Link的安全公告沒(méi)有披露漏洞是否已被野外利用。但命令注入和認(rèn)證繞過(guò)的組合，在地下市場(chǎng)里一向是硬通貨。如果你管理的網(wǎng)絡(luò)里有這幾款設(shè)備，現(xiàn)在去查固件版本，可能比讀完這篇文章更重要——你的配置加密用的是不是那把"公用鑰匙"？