新闻链接：http://netsecurity.51cto.com/art/201506/480802_all.htm
新闻时间：2015-06-19 13:54
新闻正文：
下午3点，天气晴，本杰明背着他的黑色背包走进了一家咖啡馆。这家咖啡馆的生意很好，幸运的是他喜欢的那个僻静角落没有被人捷足先登。他点了一杯咖啡和一个三明治，礼貌地向服务员询问了WiFi账号和密码，然后熟练地从背包中取出了电脑和一个烟盒大小的黑色盒子，他的“工作”开始了……

 WiFi，那些你不知道的事

公共WiFi风险大

下午3点10分，玛丽走进了这家咖啡馆，她心情不错，因为今天不用上班。她为自己点了一些甜品，然后掏出手机连上了咖啡馆的免费WiFi。她点开网页，登录网上商城浏览最新的商品，有两双漂亮的鞋子吸引了她的目光。到底买哪一双呢?经过反复的对比和复杂的心理斗争，她终于决定把这两双鞋都买回家。可当她准备进行网上支付时，她惊呆了，昨天刚存入商城账户里的数千元钱已经不翼而飞!此时她不会注意到，一个背着黑色背包的年轻人默默地走出了咖啡馆。

以上情节不是只在电影里才会出现，而是可能随时发生在我们身上。近年来，随着移动互联网以及智能终端的迅猛发展，人们已经爱上了随时随地上网的畅快体验，WiFi热点也因其免费、方便接入等特性而备受欢迎。现在，咖啡馆、饭馆、酒店和飞机场等公共区域，公交车、火车甚至飞机等公共交通工具上都能够提供WiFi热点接入服务，而且这些公共WiFi大都是免费的。可是，在人们畅享移动互联体验的同时，信息安全风险也随之而来。可怕的是，大多数人对此毫不知情!

百度移动安全部的专家在接受《人民邮电》报记者采访时指出，调查显示，目前我国近80%的手机用户每天都会连接WiFi，这其中接近10%的WiFi都是没有设置密码的，在当前的公共WiFi中，隐藏安全风险的“黑WiFi”比例非常高，甚至远远超过了用户之前比较关注的手机病毒。很多“黑WiFi”没有密码，并且以Starbucks、Airport free等常见的公共WiFi名称命名。目前，这些公共WiFi已经成为了不法分子窃取用户隐私、骗取用户钱财的一个新兴渠道，需要广大用户提高警惕。

事实上，利用公共WiFi作案的门槛极低。360公司的安全专家介绍说，一些不法分子利用网民想免费上网的心理，在公共场合利用一台电脑、无线上网设备及一个网络包分析软件就可搭建一个不设密码的钓鱼WiFi，整个过程只需要十几分钟甚至几分钟。不法分子可以在网上很容易购买到搭建“黑WiFi”的设备，在国外一款名为“WiFi菠萝”的此类设备已经推出了第五代产品，售价仅为99.99美元，而国内也不乏类似产品，一些产品甚至在淘宝等网店上公开销售，售价仅为300元左右。不法分子甚至可以将任意一款正规的无线网卡改造成此类设备，成本可低至数十元。

连上钓鱼WiFi后，网民所进行的操作、传输的数据都可以被黑客监视，黑客可从上网数据包里查到网民的登录信息，从而窃取个人邮箱、社交软件账号密码和照片等信息，还可以截获网民与网银、支付宝等财产相关的验证码短信，盗取受害者的资金。即便是设有密码的WiFi也不一定安全，黑客只需要将钓鱼WiFi的账号和密码设置成与正规WiFi热点一样(就像上文中本杰明所做的)，当网民进入钓鱼WiFi的“势力范围”后，他们极有可能被信号更强的“冒牌”WiFi所“俘获”，所以同样难逃魔爪。

家庭WiFi就安全吗

近年来，“宽带中国”战略的逐步实施使许多家庭接入了宽带网络。工信部发布的《关于实施“宽带中国”2015专项行动的意见》提出，2015年我国还要实现宽带网络能力的跃升，力争新增光纤到户覆盖家庭8000万户，推动一批城市率先成为“全光网城市”。许多家庭为了方便家庭成员使用各类智能终端上网，纷纷利用家里的固网宽带搭建WiFi热点。据中国互联网络中心发布的数据，2014年我国在家里使用电脑接入互联网的城镇网民中，家庭WiFi的普及比例高达81.1%。许多人认为自己关起门来，用家里的WiFi上网肯定不会存在安全风险。事实真是这样吗?

读者不妨先回答几个问题：你是否知道家中无线路由器的管理账号和密码，是否更改了初始账号和密码?你家中的WiFi热点是否被加密，采用了何种加密方式?对于以上问题，如果你没有明确的答案，那么你就要当心了，这意味着你的家庭WiFi随时都有可能被“黑”。

“我家里的WiFi要输入密码才能登录呀，这还不够安全吗?”答案是，不一定。家用的无线路由器一般有两层密码，一层是接入WiFi时需输入的密码，一层是管理路由器时需要的密码。许多人只是设置了前者而往往忽视了后者，甚至许多人根本不知道它的存在。而为了使用方便，许多人设置的WiFi接入密码又非常简单，如000000、123456或自己的生日等。黑客利用软件可以很容易地“暴力破解”用户的密码。据360日前发布的调查报告，在全国超过1亿个家用WiFi中，约有3.3%的WiFi密码使用低级加密方式，也就是说，有超过400万的家用WiFi密码设置不安全。半年时间国内就有9.5%的WiFi实际遭遇了蹭网侵害，被蹭网的家庭WiFi数量高达950万个，而我国上网资费平均每年为1000元左右，带来的网费损失每年多达50亿元。

更为可怕的是，黑客破解网民的家庭WiFi大多不只是为了蹭网这么简单。许多网民没有对家中的无线路由器管理账号和密码进行设置(许多路由器的默认账号和密码均为“admin”)，黑客一旦成功接入网民的WiFi热点，就可以随意修改路由器的参数，并进一步入侵接入该WiFi的智能终端，轻而易举地窃取网民的照片和文件，电子邮箱、社交软件和游戏的账号及密码等隐私信息，进行网上银行转账等操作，或者将网民的电脑变为“肉鸡”，构建“僵尸网络”等。

 WiFi，那些你不知道的事

 WiFi，那些你不知道的事

第一代“WiFi菠萝”(左)因装在一个形似菠萝的盒子里而得名，而现在的第五代产品(右)只有烟盒大小，隐蔽性很强。

“蹭网神器”暗藏玄机

现在，互联网思维在各行各业都受到了热捧，虽然各方对其解读众说纷纭，但“免费”和“共享”无疑是其最典型的两个特征。一些应用开发者就嗅到了免费WiFi所蕴藏的商机，纷纷推出可以帮助用户免费“蹭WiFi”的各类应用软件。WiFi万能钥匙、万能WiFi钥匙、WiFi钥匙万能工具箱等此类软件一经推出就大受广大网民欢迎。在国内一家知名的安卓应用商店，WiFi万能钥匙的下载量达到了惊人的2.19亿次(这仅仅是一家应用商店的下载量)。许多人没有意识到，此类软件隐藏着巨大的信息安全风险。

在使用方法上，此类软件大同小异，当用户下载安装此类软件后，可以搜索到附近存在的一些WiFi热点，利用该软件，用户可以很方便地“一键接入”其中的部分WiFi热点(即便它们设有密码)。如此好用的“蹭网神器”能给用户带来哪些安全威胁呢?要回答这个问题首先得了解这些软件的操控原理。

其实它们的原理很简单，一方面，软件商搜集大量的公共WiFi账号和密码;另一方面，用户分享他们接入的所有WiFi热点的账号和密码，这样一来就形成了一个大型的WiFi数据库，当用户进入这个数据库中WiFi的覆盖范围时，就能够自动调用密码接入该网络。

对于用户而言，最大的风险就是，当他们连接自己的WiFi时，也会自动分享账号和密码，而许多人对此毫不知情。因为在安装此类软件的过程中，许多选项是默认勾选的(如“自动分享热点”、“自动备份”等)，而人们往往不会留意到这些细节。一旦这些账号和密码被不法分子所利用，就极有可能造成用户的隐私信息泄露甚至造成财产损失。2014年年底，上海市杨浦区警方就曾破获了一起非法获取计算机信息系统数据案，涉案黑客成功入侵了一家开发免费WiFi热点的软件公司，在一周内盗取了150万个WiFi密码，被捕时涉案黑客已经利用这些信息获利。

揭秘黑客的“三板斧”

在WiFi环境中，黑客可以无孔不入。在公共WiFi环境中，他们可以搭建不设密码的钓鱼WiFi，也可以假冒正规的WiFi热点搭建山寨WiFi，诱使网民进入“蜜罐”陷阱;在家庭WiFi环境中，黑客可以通过破解密码等方式，接入网民的无线网络。随后，他们就会用以下“三招”，让网民在毫不知情的情况下蒙受损失。

第一招：数据抓包。当黑客与网民处于同一个局域网后，黑客就将变身为“嗅探者”，通过软件自动“抓取”包含网民在上网时输入的各类账号、密码等信息的数据包。通过软件分析获取这些信息后，黑客就可以通过贩卖这些隐私信息，或者是直接登录相关账号转账、消费等获利。

第二招：DNS劫持。DNS劫持即域名劫持，黑客拦截劫持网络范围内的域名解析请求，分析请求的域名并进行相关的操作，简单地说就是使网民无法正常访问某些网站，或者将网民引到一些钓鱼网站。例如，被DNS劫持后，网民在登录网上银行时，会被引到一个仿真度极高的山寨网上银行，当他输入账号和密码等信息后，黑客就可以马上获取这些信息，进而盗刷网民的网银。

第三招：服务器数据劫持。网民“中招”后，黑客可以替换网民的下载文件，例如网民在网盘上下载一个软件的安装程序时，黑客可将植入了木马的程序与原始文件对调，这样一来用户一旦下载安装该程序，木马就会自动进入网民的智能终端。

如何才能避免“中招”

虽然WiFi环境中隐藏着诸多风险，但网民也大可不必因噎废食。要想避免“中招”，首先需要做的是提高安全防范意识。工信部电子科学技术情报研究所日前完成的一项调查显示，目前我国网民的信息安全意识普遍不强，具体表现为：75.93%的网民存在多账户使用同一密码的问题;44.42%的网民使用生日、电话号码或姓名全拼等设置密码;我国83.48%的网民网上支付行为存在安全隐患，其中38.96%的网民使用无密码的WiFi进行网上支付等。

安全专家为网民提供了一些建议，帮助大家降低利用WiFi上网的风险。

在公共WiFi环境中：

要避免使用没有密码的免费WiFi。如果黑客利用开启监听模式的无线网卡，没有密码的WiFi流量数据是可以被黑客直接看到的。

仔细辨认常见的公共WiFi账号。尤其要特别警惕同一地区有多个相同或相似名字的WiFi。出现这一情况，很有可能是黑客搭建了钓鱼WiFi，因此要格外留意。

不要用手机浏览器登录重要账号，尽可能使用手机APP。因为一般的银行客户端和支付宝APP都会对数据传输进行加密，相对更安全一些。

手机邮箱设置应开启SSL加密，以避免在钓鱼WiFi环境中泄露账号密码。

在家庭WiFi环境中：

修改无线路由器的管理账户和密码。不要使用无线路由器默认的账号和密码，以免黑客篡改路由器参数。

使用最高等级的加密方式。在设置无线路由器的加密方式时，不要使用WEP加密方式，这种静态加密的方式很容易被破解，要使用WPA/WPA2的加密方式，WiFi的接入密码应尽量设置得复杂些，建议16位以上而且要同时包含字母、数字与符号。

不要使用“蹭网”软件。以免自己的WiFi账号和密码等信息被自动共享。

安全专家还建议，广大网民在不使用WiFi时要养成关闭WiFi开关的好习惯，以防智能终端自动连上“黑WiFi”;同时可安装正规的安全软件，目前大多数的安全软件均有WiFi环境扫描功能，可以帮助网民更安全地接入WiFi网络;此外，政府相关部门、运营商和安全厂商等各方应更多地进行合作，通过大数据平台找到这些“黑WiFi”，最终将这些不法分子绳之以法。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)