如果你的Wi-Fi網絡使用流行的貝爾金（Belkin）N600 DB路由器，請注意：它可能存在一些漏洞，黑客可以利用這些漏洞入侵。
近日，卡內基梅隆大學CERT協調中心在一場咨詢會上表示，未經身份驗證的遠程攻擊者可以利用漏洞欺騙DNS（域名系統）反應將用戶引到流氓網站，或者，通過欺騙用戶的瀏覽器更改設備配置。訪問本地的網絡攻擊者可以繞過受影響的路由器的認證，進而獲得完全控制權。
利用這些漏洞，需要攻擊者處于路由器和DNS服務器或貝爾金更新服務器之間的中間位置。然而，其他的缺陷會欺騙用戶在本地網絡訪問特制的網頁或使他們的電腦被惡意軟件感染。
基于Web的攻擊技術被稱為“跨站請求偽造”（CSRF），這是瀏覽器的設計工作方式的濫用。網站會迫使瀏覽器發送一個請求到第三方網站，這可以是一個路由器的管理界面，并只可通過本地網絡訪問。
默認情況下，貝爾金N600不需要密碼訪問管理界面，所以如果有潛在的CSRF攻擊這樣的設備，那么它們很可能甚至不需要用戶進行身份驗證。
路由器制造商通常會很快指出，在他們的設備的網絡管理接口的缺陷不能被遠程攻擊，因為默認情況下這些接口是并不暴露在互聯網上。然而，他們卻很少提到CSRF攻擊，這是一種黑客越來越多的攻擊家用路由器的方式，甚至包括通過合法網站進行大規模攻擊。
卡內基梅隆大學CERT協調中心證實，貝爾金N600 DB f9k1102 V2型號的路由器中的2.10.17固件存在漏洞，同時也指出，早期的版本也可能受到影響。
該中心目前還沒有獲悉供應商那里推出針對該漏洞的補丁。CERT協調中心建議用戶采取一般的安全防范措施，如設置路由器的管理界面和Wi-Fi網絡設置強密碼，并且只允許在局域網上可信的計算機訪問本地。
該組織同時也發出警告，對于DNS欺騙或HTTP有關的固件問題沒有實際的解決方法，當攻擊者一旦訪問本地網絡，也無法防止他們利用漏洞繞過身份驗證。
譯自：2015年9月澳大利亞CIO Australia
編譯：工業和信息化部國際經濟技術合作中心 胥富元
京公網安備 11010502049343號