IP 分享器 (ASUS RT-AC5300) 被入侵

jerry-chen · 2017-03-04T01:17:47+08:00

今天發現我的 IP 分享器被入侵，我記得有關閉 SSH ＆ Telnet 的功能，但卻發現有駭客透過 SSH 執行以下指令，請問這些指令是在做什麼？dropbear: Password auth succeeded for 'xxxxx' from 201.24.185.90:41181dropbear: User xxxxx executing '/sbin/ifconfig'dropbear: User xxxxx executing 'cat /proc/meminfo'dropbear: User xxxxx executing '2>/dev/null sh -c 'cat /lib/libdl.so* || cat /lib/librt.so* || cat /bin/cat || cat /sbin/ifconfig''dropbear: User xxxxx executing 'cat /proc/version'dropbear: User xxxxx executing 'uptime'dropbear: User xxxxx executing '1>/dev/null 2>/dev/null /sbin/iptables -L -n && echo 1 || echo 0'dropbear: User xxxxx executing '(python -V 2>/dev/null && echo python && python -V) || (/usr/local/bin/python -V 2>/dev/null dropbear: && echo /usr/local/bin/python && /usr/local/bin/python -V)'dropbear: Exit (xxxxx): Exited normally我 IP 分享器的帳號密碼都有換過，帳號不是預設的 admin，密碼也有包含大小寫字母，特殊符號與數字，感覺駭客是知道帳密，然後透過 Web UI 管理介面直接登入 IP 分享器，並打開 SSH 功能。因為人在外，我先做了以下處置：1. 更改密碼2. 關閉 SSH3. 禁止透過 Internet 連接 Web UI 管理介面4. IP 分享器重新開機5. 電腦重灌 (回家才能做)。請問，我還需要做什麼動作，才能確保分享器不會被綁架、DNS 串改，或竊取資訊？是否需要重刷韌體？

雙面浪人

11120分

11樓

雙面浪人

個人積分：11120分

文章編號：63528393

會密碼錯太多次，是低階的駭客在練手的
被鄰居無聊一直試也是有可能
（不過連入是巴西電訊ip，除非是有仇，不然應該不會繞這麼遠吧XD）

然後這篇有討論分享器
https://www.mobile01.com/topicdetail.php?f=110&t=4960598&p=2

要預算考量選：TP-Link
要國產保固選：Asus
要高價酷炫選：Netgear
要專業安全選：DrayTek
要自主設定選：RouterOS

樓主原來的vigor安全性應該不錯
至於是不是asus有問題...很難說
搞不好就是剛好找到那台

一般這種會被攻擊，大概是固定ip或不關分享器（容易被找到）
解決方法....我家是裝兩台+非固定ip
然後要用網路的時候再開這樣^^