智能家居与消费电子安全第03页：家庭网络与网关安全

01 · 家庭网关：家庭网络的信任根

1.1 为什么网关是"单点中的单点"

家庭网关（路由器/光猫路由一体）是所有家庭设备的互联网出口与内网枢纽：它一旦被控，攻击者可以窃听与篡改全部流量、重定向DNS、向内网设备注入内容，并向互联网招募该设备加入僵尸网络。Mirai（2016年）感染的两大类对象正是摄像头与路由器；VPNFilter（2018年）展示了路由器被控后的完整危害链（流量嗅探、敏感数据收集、自毁与横向扩散）。

1.2 家庭网关主要攻击面

1.3 档案案例

• Misfortune Cookie（2014年12月，Check Point披露）：AllegroSoft RomPager Web服务器的Cookie解析栈溢出漏洞（CVE-2014-9222/9223），可完全接管受影响路由器；估计约1200万台设备、涉及189个国家。教训：嵌入式组件漏洞的影响面按"全球存量设备"计，固件供应链治理（子课题01）是源头。
• TheMoon蠕虫（2014年）：利用HNAP/CGI接口漏洞感染Linksys等家用路由器并纳入点击欺诈网络。教训：自动化的蠕虫化攻击对家用设备同样成立。
• dnsmasq漏洞集（2017年10月，Google安全团队披露）：7个漏洞（含远程代码执行CVE-2017-14491等），影响大量路由器、Android热点与IoT设备。教训：网络基础组件需要与上游同步的漏洞响应机制。

02 · Wi-Fi安全攻防演进

2.1 从WEP到WPA3：二十年的攻防迭代

2.2 WPS：便利与安全的历史教训

WPS（Wi-Fi Protected Setup）本为简化配置而生，但其PIN设计存在结构性缺陷：2011年Stefan Viehböck公开披露离线PIN爆破可在数小时内还原WPS PIN；2014年Dominique Bongard的PixieDust攻击进一步把破解时间缩短到数分钟（无需在线枚举）。厂商随后普遍加入速率限制与锁定，但根本对策是直接关闭WPS——当前主流路由器均允许在管理界面停用。

2.3 家庭Wi-Fi配置基线

• 加密标准：WPA2/WPA3过渡模式起步，逐步过渡到纯WPA3；PSK使用12位以上随机口令（密码管理器生成），杜绝姓名+生日组合。
• 关闭WPS（PIN方式与PBC方式一并关闭）；开启PMF（受保护管理帧）。
• 管理面加固：关闭WAN侧远程管理；管理密码独立于Wi-Fi密码；管理界面仅允许内网指定IP访问；固件保持自动更新。
• 访客网络：为访客与临时设备提供隔离SSID（仅互联网、禁止访问内网），避免访客设备接触家庭设备网段（详见第04分区部分）。

03 · DNS劫持与重绑定攻击

3.1 路由器DNS劫持：以家庭为单位的定向钓鱼

攻击者利用路由器的CSRF漏洞或默认口令修改其DNS服务器配置后，家庭内所有设备的域名解析均被劫持：网上银行、电商、邮箱被导向钓鱼页面，且HTTPS普及后仍可通过证书告警绕过意识薄弱的用户。2014年Team Cymru报告揭露的大规模SOHO路由器劫持行动（约30万台设备，DNS被指向攻击者控制的服务器）证明这是可持续、可盈利的攻击模式；巴西等国长期存在针对家用路由器的DNS篡改黑产，受害者打开任意网页都可能被插入广告或钓鱼内容。

3.2 DNS重绑定：绕过同源策略打内网

DNS重绑定（DNS Rebinding）使恶意网页可以把浏览器的同源策略"骗"到内网地址上，从而读取并操控家庭设备的本地管理接口。2018年公开研究演示了通过该方式接管Google Home、Sonos、Roku等设备的配置接口。防御要点：

• 关闭路由器"DNS代理/重绑定允许"类选项（部分固件提供抗重绑定过滤），或在内网DNS（如网关自带过滤）阻断指向私有IP段的外部解析结果；
• 设备本地管理接口启用认证+HTTPS，不接受来自浏览器的未授权跨域请求；
• 对不再使用本地Web管理的旧设备，关闭其HTTP管理口，仅保留App+云管理方式。

3.3 TR-069远程管理通道

TR-069（CWMP）是运营商远程管理家庭网关的事实标准。其暴露面包括ACS连接参数被篡改、实现缺陷导致命令注入等。家庭用户层面的可控措施有限，主要为：关注运营商固件更新、不随意刷入来历不明的第三方固件、发现异常端口映射时联系运营商核查。对研究侧，TR-064等邻近协议的暴露面同样值得纳入家庭网关审计清单。

04 · UPnP / SSDP / mDNS：便利协议的副作用

4.1 UPnP：端口映射的滥用

UPnP允许局域网设备自动向路由器申请端口映射（"打洞"），便利了P2P应用与游戏，但也带来两类问题：①恶意软件或失陷设备可自行对外开放端口，绕过NAT的"默认拒入"保护；②历史上大量路由器对UPnP请求缺乏校验，甚至出现"WAN侧UPnP请求也生效"的严重缺陷。家庭默认建议是关闭UPnP；确有P2P需求时，改用路由器手动端口转发并限定目标设备。

4.2 SSDP与mDNS：从信息泄漏到DDoS放大

• SSDP反射放大（2014年大规模观测）：面向1900端口的SSDP响应可被伪造源地址的请求放大数十倍，成为当年主流DDoS放大手法之一；其根源是设备把发现服务暴露给公网。
• mDNS/SSDP指纹泄漏：家庭设备持续广播型号与服务信息，访客设备甚至邻居（无线范围内）都能据此绘制"你家有什么设备"的画像，为定向攻击提供侦察素材。缓解：减少不必要的发现服务广播；访客网络与设备网络隔离后，广播无法跨网段扩散。

05 · 家庭网络分区：把"内网"切成"信任域"

5.1 三网分区架构

默认扁平的单一家庭网络意味着"一台被控、全网裸奔"。借鉴OT分区思想（子课题02），家庭可按信任等级划分三个逻辑网络：

5.2 落地要点

• 多SSID是最低门槛：主流路由器均支持"主Wi-Fi+访客Wi-Fi"双SSID；进阶使用VLAN（配合支持VLAN的路由器/交换机）实现有线设备同样分区。
• Mesh与无线回程：全屋Mesh组网时，优先选择支持"独立IoT SSID自动分区"的型号；无线回程链路本身应加密并独立于访客网络。
• 一级设备例外通道：手机App对门锁/摄像头的访问应经由设备厂商云或家庭中枢中转，而不是让设备网络直接暴露给主网络——这正是"本地优先、受控中继"的设计动机（第4页Matter章节）。
• 运营商定制网关：光猫+路由一体设备注意管理密码安全（运营商装维后应立即修改），远程管理通道保持出厂默认开启的可向运营商确认其凭据与通道保护方式。

06 · 内网横向移动与家庭侧监测

6.1 横向移动档案

• VPNFilter（2018年5月，Cisco Talos）：感染54个国家约50万台路由器与NAS设备；多阶段载荷具备流量嗅探、敏感数据收集、横向传播与自毁能力，其阶段二可向局域网其他设备发起攻击。该事件由FBI查封关键C2域名、并呼吁用户重启路由器处置。
• Mozi僵尸网络（2019年底出现、2020年大规模活跃）：利用弱口令与已知漏洞感染路由器/摄像头，采用P2P结构提升存活能力，主要用于DDoS与代理转发。其感染列表以家用设备为主，证明"默认口令治理"在家庭侧的直接收益。

6.2 家庭可执行的监测手段

• 出口DNS审计：在路由器或网关DNS（含Pi-hole类本地DNS过滤）上开启查询日志，关注指向陌生域名的固定周期外联（摄像头P2P云、C2心跳均表现为周期性外联）。
• 新设备接入告警：开启路由器"新设备上线通知"，与家庭台账比对发现影子设备（第2页I8设备管理能力）。
• 流量基线偏离：家用宽带夜间应接近静默；某设备持续上行大流量是上传被窃画面/被控参与DDoS的典型特征。
• 口令爆破痕迹：若设备支持本地日志（门锁、摄像头），关注登录失败次数突增；门锁应具备试错锁定与告警推送。
• 应急演练：预设"设备疑似被控"处置卡——断网（拔路由/关AP）→改云账号密码→复位设备→核查固件版本→必要时替换（第8页路线图中落地）。

本节参考来源（第3页）

事件与漏洞编号均来自原始披露方或官方漏洞库。