路由器不会弹警告：改 DNS、换固件这类“基础设施层”入侵怎么防

攻击面搬家了：从你的设备搬到你的网线

加密安全教育把电脑和手机武装到了牙齿：系统更新、杀毒、浏览器隔离、硬件钱包。但有一个环节几乎没人检查——你家那台从装上就没改过管理密码的路由器。路由器是所有设备通向互联网的必经关卡：它决定你的设备用哪台 DNS 服务器解析域名，决定流量从哪个出口出去，也决定每台设备的联网权限。攻击者一旦拿到路由器管理权，不需要在你的任何设备上放病毒：把 DNS 指向自己的服务器，你输入的每个官网域名都可以被悄悄换成假 IP；开一个端口映射，内网设备直接暴露在互联网扫描之下；刷入改过的固件，这一切可以在你完全不知情的状态下持久运行。这类攻击最阴险的地方是“无宿主”——你的安全软件扫描不出任何东西，因为你的设备真的没中毒。

事件是怎么浮出水面的

基础设施层入侵很少正面现身，通常靠侧面信号暴露：同一路由器下多台设备同时访问某些网站异常（有的通有的不通、证书报警），换了手机流量一切正常；网页频繁出现不该有的跳转或弹窗，而换网络后消失；路由器管理页被改过（管理地址、DNS 设置、已连接设备列表里出现不认识的设备）；运营商或安全机构发来的“设备对外发起异常扫描”通知。验证方法简单粗暴：同一时间用蜂窝网络访问同一个网站做对照，两边表现不一致，问题就出在公共环节。

四步加固清单

第一步，进管理页改两件事：默认管理密码改成强密码，远程管理/外网访问功能确认处于关闭状态（绝大多数家庭根本用不到从外面登录路由器）。第二步，固件：从厂商官网核对当前型号的最新版本并升级，多年不再更新的老旧型号本身就是风险源，考虑更换；有条件的话关注开源固件社区对该型号的支持情况作为参考。第三步，DNS：把解析服务改为你知道并信任的公共 DNS 或自动获取，改完记下当前值，以后每季度对比一次——被改过是信号之一。第四步，无线与访客隔离：Wi-Fi 用 WPA2/WPA3 加密，把智能家居等杂设备放进访客网络，钱包主力设备的网络与一堆杂设备隔开。

怀疑被改之后的处置顺序

先断：拔掉外网线或关 Wi-Fi，把资产操作全部转移到蜂窝网络或其他可信网络完成，这不是永久方案，但能立刻切断“全家流量经过可疑设备”这条通道。再查：复位前先把当前配置截图留证，重点看 DNS、端口映射、静态路由、已连接设备；然后按官方流程恢复出厂、设置强密码、升级到最新固件。最后换：确认设备存在已知后门或厂商不再提供安全更新的，直接更换，复位可能清不掉深层问题。所有曾经在这条链路上登录过重要账户的设备，之后都应改密、重新登录并检查会话——流量被中间设备看过，密码重置链接和未加密的登录态都可能泄露过。

家庭网络是加密用户安全地图上最少被检查的一格，它的成本优势对攻击者同样成立：入侵一台路由器，等于在几十台设备面前提前布好场景。

顺手把检查排进日程：把路由器管理地址存进你常用的浏览器书签（手动输入一次后收藏），每季度从书签进一次管理页，花三分钟对比 DNS、远程管理开关和已连接设备列表三处。被篡改最典型的痕迹就在这三行里，而一次对比只花泡一杯茶的时间。对完全不会进管理页的用户，退一步的方案是选择提供官方 App 和自动固件更新的现代路由产品，把“有没有人动过”的判断交给厂商的安全响应机制——它不完美，但远好于八年不登录一次的裸奔状态。

风险提示：本文为安全知识科普，不构成任何投资建议；涉及私钥、签名与转账的操作请通过官方渠道谨慎处理。