更新這些tp-link路由器以修複嚴重的密碼漏洞
如果您擁有四個TP-Link路由器中的一個，包括TP-Link Archer C5（v4），那麼您現在就需要查詢並安裝它的最新韌體更新。該修補程式修複了一個嚴重的漏洞，否則攻擊者可以完全控制您的路由器管理員訪問許可權，並將您鎖定在外。
這個漏洞最初是由IBM駭人聽聞的“X-Force Red”駭客小組的Grzegorz Wypych發現的，似乎需要有人能夠訪問你的路由器才能開始。如果你有一個很好的wifi密碼（前門上有一個很好的鎖），那麼這就不太適用了，但這並不是說熟練的攻擊者沒有其他漏洞可以攻擊你的網路或向你的路由器傳送命令。
即使這種駭客攻擊更有可能影響到商業網路或其他任何地方，在那裡受損的路由器可能被用作更大攻擊的載體，也沒有理由懶得在家裡更新你的裝置韌體。在這個簡單的任務上花上幾分鐘可以讓你免受傷害，正如Wypych和文章合著者Limor Kessem在安全情報所描述的：
在獲得管理員訪問許可權而不需要真正的身份驗證之後，我們發現這個特定的裝置還允許在廣域網上配置FTP。此外，我們可以透過安全的HTTPS連線遠端管理路由器，這也容易受到CGI攻擊。此路由器漏洞的影響和影響，如果被惡意第三方利用，可能是有害的。
攻擊者不僅可以獲得特權訪問，而且合法使用者也可以被鎖定，不再能夠透過使用者介面登入到web服務，因為該頁面不再接受任何密碼（使用者不知道）。在這種情況下，受害者可能無法訪問控制檯，甚至無法訪問shell，因此無法重新建立新密碼。即使有辦法設定新密碼，下一個易受攻擊的LAN/WAN/CGI請求也會再次使密碼無效。因此，只有透過USB埠連線才能訪問FTP檔案。
允許這種情況發生的漏洞很奇怪，但看起來很簡單。這種被稱為“密碼溢位”的攻擊涉及欺騙HTTP頭，使其看起來像是來自路由器IP地址或域TP-Link的路由器在初始設定過程中使用的登入請求—tplinkwifi.net。
路由器認為登入請求是合法的，並且傳送一個密碼字串和比路由器期望的短的請求會阻止任何人用正確的密碼登入(基本上，這是一種拒絕服務攻擊。）傳送一個更長的密碼字串來清空以前合法的密碼，使攻擊者能夠完全、不受保護地訪問路由器。
立即更新路由器韌體
為了堵住這個漏洞，TP-Link已經為受影響的路由器釋出了韌體更新。我建議您檢查路由器的底部或後部，以確認您擁有什麼（以及它的硬體版本號，如“V4”），如果您擁有以下四個路由器之一，請立即下載更新：
- TP連結Archer C5 v4
- TP-Link阿徹MR200v4
- TP鏈路MR6400v4
- TP連結Archer MR400v3
完成後，開啟路由器的基於web的配置螢幕，登入並查詢與韌體更新相關的部分。以C5為例，您需要單擊頂部的Advanced選項卡，向下滾動到System Tools，然後單擊Firmware Upgrade。然後您可以瀏覽找到下載（並解壓縮）的韌體更新，並透過大的Upgrade按鈕將其安裝到您的裝置上。
如果所有路由器都能簡單地ping一個更新伺服器並自動下載和安裝韌體更新，那就太好了，但事實並非如此。通常情況下，你有責任保持路由器的更新。我明白了；一直檢查網站的韌體更新是一個煩人的過程。
事實上，這可能是你最不願意考慮的事情，即使你很喜歡在電腦和網路裝置上玩極客（像我一樣）。要解決這個問題，請在您最喜歡的計劃工具上放置一個提醒，從現在起三個月後重新訪問路由器**商的支援頁以檢查更新，併在該時間點為任何合適的時間段設定另一個提醒。
- 發表於 2021-05-13 08:38
- 閱讀 ( 37 )
- 分類：IT
你可能感興趣的文章
智慧家居駭客：如何設定你的裝置以保持安全
...的智慧家居裝置比我們想象的更脆弱。有一個高度安全的路由器來保護你的裝置是一回事。另一種方法是在廣告中用一個簡單的問題來取代他們。 ...
7個簡單提示，幾分鐘內保護您的路由器和wi-fi網路
如果你設定了你的路由器，並開始使用它沒有任何配置，很可能是它不是很安全。你可能連線了不需要的裝置，或者在你的安全覆蓋範圍內有一個大洞，甚至不知道。 ...
為什麼Windows10說你的wi-fi網路“不安全”
...是不安全的使用，你應該切換到一個新的協議或更換你的路由器儘快。 為什麼Windows10會警告你 你可能知道你應該用密碼保護你的Wi-Fi網路。無論是讓鄰居或漫遊壞演員出你的系統，這只是最好的做法，以保護你的無線網路。...
用這些決議在2019年鎖定你的技術
...關：備份我的電腦最好的方法是什麼？ 更新（或升級）路由器 您的無線路由器是您的計算機、電話和智慧家居裝置用來訪問Internet的閘道器。你需要確保它是安全的，首先要確保你的網路受到WPA2加密密碼的保護。如果沒有，攻...
你的wi-fi網路易受攻擊：如何防範krack
...傷害。 值得慶幸的是，只要一對裝置中的一個被配線到路由器或連線到路由器的計算機/電話/平板電腦上，它們之間傳輸的資料就應該是安全的。 這意味著如果你更新你的路由器韌體，你的網路應該受到保護。但你仍然需要更...
如何執行last-pass安全稽核（以及為什麼它不能等待）
...，開始使用LastPass。雖然LastPass在我們編寫指南之後已經更新了（現在介面更漂亮，流線型更好），但是您仍然可以輕鬆地遵循這些步驟。如果您是第一次設定LastPass，請確保從瀏覽器匯入所有儲存的密碼，因為我們的目標是稽核...
如何確保路由器、相機、印表機和其他裝置在internet上不可訪問
有些人的聯網印表機、照相機、路由器和其他硬體裝置可以從網際網路**問。甚至有搜尋引擎設計來搜尋這些暴露的裝置。如果你的裝置是安全的，你就不用擔心這個了。 請遵循本指南，以確保您的聯網裝置與Internet正確隔離。...
microsoft修複了廣泛存在的密碼重置漏洞後的hotmail漏洞
...過Hotmail基於令牌的密碼重置系統。微軟說他們在4月20日修複了這個漏洞，但是公司還沒有透露3億使用者中有多少人受到了這個臨時故障的影響。攻擊的性質意味著Hotmail的普通使用者會意識到他們的帳戶密碼不再有效，但是如果...
sprint釋出galaxy nexus軟體更新以修複網路連線問題
...經兌現了諾言。Galaxy Nexus將在未來一兩天內收到一個軟體更新，以解決連線Sprint網路的困難；更新中還包含一些非特定的Google Wallet更新。當然，使用者需要連線到Wi-Fi，這樣當這個更新被推出時就可以下載；使用者也可以在**的...
蘋果史詩般的安全漏洞背後的危險
上週五，蘋果的SSL漏洞首次浮出水面，一個神祕的緊急更新開始湧入iOS裝置。從那以後，訊息就更糟了。這不僅僅是一個iOS錯誤，而是蘋果安全傳輸平臺的一個問題，它出現在OSX10.9桌面版上，併在移動裝置上返回到iOS6。截至記...
