路由器 DNS 劫持和 UPnP 連接埠轉送危害：指向惡意 DNS 伺服器的 ISP 閘道、30-30-30 與 NVRAM 硬重置以及加密的 DoH/DoT¶

在家中或小型辦公室的 Wi-Fi 上開啟筆記型電腦或智慧型手機，結果卻看到仿冒品 "Chrome / Windows Critical Update Required" 彈出視窗、強制入口網站畫面詢問您的路由器或電子郵件密碼， NET::ERR_CERT_AUTHORITY_INVALID 銀行網站上出現 TLS 憑證警告，或發現您的路由器 WAN / DHCP 配置已悄悄重寫以指向流氓外國 DNS IP位址（或已開啟數十個未經授權的 UPnP 連接埠轉送規則將您的 NAS、攝影機和 PC 暴露到公共網路）是一種嚴重的網路層級妥協。當攻擊者破壞您的 Wi-Fi 路由器或 ISP 閘道器時（Netgear, TP-Link, ASUS, Linksys, D-Link, MikroTik, Ubiquiti, Arris, Comcast Xfinity, AT&T BGW, BT Smart Hub），他們控制預設網關（192.168.1.1 或 192.168.0.1）同時針對建築物中的每台設備，包括 iPhone、Android 手機、智慧電視、工作筆記型電腦和無法安裝傳統防毒軟體的 IoT 中心。

更糟的是，現代路由器惡意軟體家族（VPNFilter, KV-Botnet, RaptorTrain, Volt Typhoon, ZuoRAT, Cyclops Blink, 和 GhostDNS）使用兩種不同的持久性機制：有些僅僅改變非揮發性 NVRAM 設定（DNS 伺服器， CWMP / TR-069 遠端管理，以及 UPnP 表）透過跨站點請求偽造（CSRF）或預設管理員密碼，而進階殭屍網路則在內部暫存有效負載 /tmp RAM 或覆蓋 Linux MTD SPI 快閃記憶體分區。對於相關的網路和 NAS 危害，請閱讀 DNS 劫持、ISP 路由器 WAN 重新配置和強制門戶欺騙, 受感染的家庭或小型辦公室 NAS、DeadBolt 勒索軟體和 UPnP 關閉, 和 確保家庭路由器和物聯網設備的安全。如果您的網路受損影響醫療遙測設備或實體生命安全系統，請立即切換到蜂窩數據並撥打您當地的緊急電話號碼（911 在美國和加拿大， 112 整個歐盟， 999 在英國）或查看我們的目錄 緊急號碼。

現在就這樣做¶

1. 立即斷開您的手機和筆記型電腦與受感染 Wi-Fi 網路的連接，並且不要點擊 "Update", "Install Certificate", 或 "Verify Account" 在任何瀏覽器彈出視窗上：
2. 為什麼惡意 DNS 彈出視窗是致命的：當被劫持的路由器指向您的 DHCP DNS 解析器將其解析為惡意 IP 位址，輸入正常網域名稱（或當您的作業系統透過以下方式檢查連線時） msftconnecttest.com / captive.apple.com）將您的瀏覽器重定向到攻擊者控制的伺服器，該伺服器託管 ClickFix / Lumma Stealer / Fake Chrome Update 惡意軟體或虛假 ISP 登入頁面。將您的智慧型手機切換至蜂窩網絡 5G/LTE 立即。
3. 先拔掉路由器上的電源插頭 60 秒（Stage-2 /tmp RAM Malware Flush），然後透過乙太網路線連接一台乾淨的電腦（Wi-Fi 關閉）以檢查並重置路由器：
4. 為什麼 FBI 建議立即重啟電源：大多數多級路由器殭屍網路 (VPNFilter, KV-Botnet, ZuoRAT）無法將大型活動資料包嗅探和代理二進位檔案寫入小型唯讀文件 SquashFS 快閃記憶體分區；相反，他們在 volatile ** 中運行第 2 階段和第 3 階段RAM （/tmp 或 /var/run）**。拔掉電源線 60 秒會立即終止活動的記憶體資料包攔截器，以便您可以安全地存取路由器管理頁面以擦除第 1 階段持久性並重新刷新韌體。
5. 了解真相 "30-30-30 Hard Reset" 與現代 Bootloader / NVRAM Factory Reset：
6. 幾十年來，指南推薦30-30-30 reset（通電時按住重設針孔 30 秒，拔下電源插頭 30 秒，重新插入電源時按住重設針孔 30 秒）。
7. 技術現實： 30-30-30 時序特定於傳統 Broadcom CFE （Common Firmware Environment) 引導程式運行 DD-WRT。論現代 ARM 和 MIPS 路由器運作 U-Boot （ASUS, TP-Link, Netgear, UniFi, GL.iNet），在啟動過程中按住重置按鈕拔掉電源實際上會將路由器丟進Bootloader TFTP / Crashed Recovery 模式而不是擦除 NVRAM。
8. 恢復出廠設定 NVRAM 在任何現代路由器上：保持電源線插入且路由器完全啟動，按住凹進的Reset 連續按住針孔按鈕 10 到 30 秒，直到所有前面的 LED 燈呈現琥珀色/紅色閃爍並且路由器重新啟動，然後放開。
9. 刷新最新的官方工廠韌體映像（.bin / .chk / .trx / .img）在重新連接之前透過乾淨的蜂窩連接下載 WAN （網際網路）乙太網路線：
10. 如果您在路由器恢復出廠設定時 WAN 連接埠仍插入公共互聯網，自動殭屍網路掃描器（Shodan / Censys 大規模利用腳本目標 WAN 管理埠 8080, 8443, 7547 TR-069, 或 UPnP SOAP）可以重新利用未修補的漏洞或預設值 admin/admin 重新啟動後 90 秒內登入。
11. 首先使用手機的蜂窩熱點下載最新的韌體文件，拔掉電源 WAN 從路由器連接電纜，執行出廠重置，透過離線上傳韌體文件 192.168.1.1，設定一個新的 20 個字元的管理員密碼，然後然後插入 WAN 網路電纜重新插入。
12. 停用 UPnP （Universal Plug and Play), NAT-PMP, Remote WAN Management, 和 WPS 立即在路由器設定中：
13. 百分之九十的未經授權的連接埠轉送攻擊發生的原因是UPnP 在消費者路由器上預設啟用：本地網路上任何受感染的智慧電視、物聯網攝影機或瀏覽器腳本都可以發送未經身份驗證的 UPnP IGD SOAP XML 請求（AddPortMapping) 到 192.168.1.1:1900 指示路由器開啟直接通往內部 NAS 的外部防火牆連接埠（port 5000/445) 或 Windows PC (port 3389 RDP）。
14. 沖洗本地 DNS Cache 和 ARP Cache 在每個 Windows、Mac、iPhone 和 Android 裝置上，並啟用 Encrypted DNS （DNS-over-HTTPS / DoH 或 DNS-over-TLS / DoT）：
15. 即使在修復路由器後，您的筆記型電腦和手機仍將繼續將流量路由到攻擊者的 IP 位址，直到其快取的 DNS TTL 過期或您手動刷新作業系統和瀏覽器 DNS 快取（ipconfig /flushdns）。

決策樹：診斷並根除路由器 DNS 劫持或 UPnP 妥協¶

請按照此網路取證工作流程來確認劫持、消除持久性並強化您的網關：

flowchart TD
    Start["可疑重定向、證書警告、虛假更新彈出視窗或 Wi-Fi 上的緩慢/被劫持的流量"] --> AuditDNS["步驟 1：執行「nslookup google.com」並檢查路由器 WAN/DHCP DNS IP + UPnP 連接埠轉發表"]

    AuditDNS --> IsHijacked{"路由器是否顯示未知的外部 DNS IP 或未經授權的 UPnP 連接埠轉送？"}

    IsHijacked -->|"否：路由器 DNS 和連接埠是乾淨的，只有一台裝置具有重定向"| LocalMalware["妥協是針對該單一 PC/手機的本地 -> 檢查“主機”文件、惡意 Chrome 擴展或流氓代理/VPN 配置文件"]

    IsHijacked -->|"是：路由器 DNS 已變更、WAN 管理已開啟或存在惡意 UPnP 規則"| UnplugWAN["步驟 2：從路由器上拔下 WAN（網際網路）電纜 + 重新啟動路由器 60 秒以清除「/tmp」RAM 惡意軟體"]

    UnplugWAN --> EoLCheck{"路由器是 ISP 擁有的閘道還是您自己的零售路由器？"}

    EoLCheck -->|"ISP 租用數據機/路由器（Comcast、AT&T、Spectrum、BT、Virgin、Rogers）"| ISPGateway["1. 按住物理重置針孔 15-30 秒。 2. 更改管理員和 Wi-Fi 密碼 + 停用 UPnP。 3. 如果 TR-069 / 韌體受到損害，請立即在 ISP 商店免費更換硬件"]

    EoLCheck -->|"零售路由器：型號已停產（EoL / 2 年以上沒有韌體更新）"| ReplaceRouter["永久拔掉插頭並更換硬體：未打補丁的 EoL 路由器將在重新連接到 WAN 的數小時內被重新駭客攻擊"]

    EoLCheck -->|"零售路由器：積極支援的型號"| CleanReflash["1. 透過乾淨的蜂巢熱點下載最新的官方韌體。 2. 按住復位針孔 15-30 秒（開機和離線時）。 3. 透過乙太網路刷新韌體 -> 停用 UPnP 和 WAN 管理 -> 設定加密 DoH/DoT"]

第 1 階段：如何證明您的路由器的 DNS 或 UPnP 表是否已被劫持（取證審計）¶

在擦除路由器之前，請花 2 分鐘檢查修改了什麼，以便了解攻擊者是否只是中毒 DNS （GhostDNS 樣式）或也將連接埠轉送到您的內部網路（UPnP / NAT 入侵）。

1. 從命令列審核您的活動 DNS 伺服器 (nslookup / scutil / resolvectl）¶

在連接到網路的電腦上開啟終端機或命令提示字元並執行： - Windows（Command Prompt / PowerShell）：

ipconfig /all
nslookup example.com

scutil --dns | grep 'nameserver\[[0-9]*\]'

resolvectl status

比較 DNS Servers 您的路由器根據此合法設定與被劫持設定表傳回的 IP 位址：

2. 審核您的路由器 UPnP 和 Port Forwarding / Virtual Server 表¶

當您登入路由器的管理介面時（http://192.168.1.1, 192.168.0.1, 10.0.0.1, 或 192.168.50.1），轉到Advanced -> NAT Forwarding / Port Forwarding / UPnP： - 看看UPnP Portmap Table（有效的 UPnP 租用）： - 合法遊戲機暫時開放高UDP連接埠（例如 UDP 3074 適用於 Xbox/使命召喚）。 - 主動妥協的跡象：如果您看到 UPnP 將外部 TCP 連接埠轉送至 ** 的規則Port 445 （SMB),Port 3389 （Windows Remote Desktop / RDP),Port 22 （SSH),Port 5000 / 5001 / 8080 （Synology / QNAP NAS),Port 554 （RTSP Security Cameras), 或 Port 1080 / 9050 （SOCKS5 Proxy Botnet)，您的網路（或 WAN）內的惡意軟體 UPnP SOAP 漏洞）已直接穿過您的防火牆。 - 另請檢查Advanced -> Security -> Remote Management （WAN Access)** 和 Firewall -> DMZ： - 驗證Remote Management （從 WAN 進行 Web 存取） 被 停用（OFF) 還有那個 DMZ Host 已 ** 停用（Blank / 0.0.0.0）**。攻破路由器的攻擊者幾乎總是會發動攻擊 Remote Management on Port 8080 / 8443 或將內部IP放入 DMZ 這樣他們就可以稍後再回來。

第二階段：逐步消滅路由器， NVRAM 重置和離線韌體刷新¶

切勿簡單地登入受感染的路由器並輸入 8.8.8.8 回到 DNS 框而不重置和重新刷新它：如果攻擊者植入了 cron 作業，已修改 dnsmasq.conf, 啟用 TR-069 （CWMP) 流氓自動配置，或利用未修補的韌體漏洞，流氓 DNS 設定將在 10 分鐘後立即恢復。

執行此 6 步潔淨室恢復：

步驟1：在斷開互聯網之前下載最新的官方韌體和工具¶

1. 使用使用蜂窩數據的智慧型手機（Wi-Fi 關閉）或連接到手機蜂窩熱點的電腦：
2. 查看路由器底部的實體貼紙，並閱讀確切的型號和硬體版本（Ver: 1.0, v2, v4.20）。 （閃爍 Hardware v1 韌體到 v2 路由器可以將其變磚。 ）
3. 直接造訪製造商的官方支援網站（asus.com, tp-link.com, netgear.com, linksys.com, ui.com）並下載最新韌體 .zip 存檔到您的電腦。
4. 提取 .zip 文件，這樣你就有了原始的 .bin, .chk, .trx, 或 .img 韌體檔案已在桌面上準備好。

步驟 2：將路由器與 WAN （網際網路）和沖洗揮發性 RAM¶

1. 拔掉插頭 WAN 乙太網路電纜（來自光纖的電纜 ONT 或電纜調變解調器插入藍色/黃色 Internet / WAN 路由器上的連接埠）。
2. 拔掉所有插頭 LAN 乙太網路電纜，一台乾淨的筆記型電腦/PC（其 Wi-Fi 已關閉）除外。
3. 從牆上拔下路由器的電源線 60 整秒：這將主機板電容器完全放電並銷毀運行在其中的任何 Stage-2/Stage-3 惡意軟體 /tmp 內存。

步驟 3：執行適當的硬體操作 NVRAM 恢復出廠設定（以及為什麼要避免 30-30-30 在現代路由器上）¶

1. 將路由器的電源線重新插入（保持 WAN 網路電纜拔掉）並等待 2 分鐘，直到路由器完全啟動。
2. 使用迴紋針或 SIM 彈出工具，按住凹陷的 Reset 路由器背面的針孔按鈕：
3. 標準 U-Boot / 現代 Linux 路由器 (ASUS, TP-Link, Netgear, Linksys, Ubiquiti, Synology, Eero)：按住 Reset 在路由器開啟時連續按住按鈕 15 到 30 秒，直到所有 LED 燈快速閃爍或變成琥珀色，然後放開按鈕並等待 3 分鐘，讓路由器透過擦除重新啟動 NVRAM 分區。
4. 華碩專用 "Hard Factory Reset" （NVRAM + /jffs 分割區擦除）：在華碩路由器上（RT-AX, RT-BE, GT-AX 系列），惡意軟體或流氓腳本可以隱藏在持久性中/jffs 閃存分區，在正常重置後仍然存在。擦拭兩者 NVRAM 和 /jffs 在華碩路由器上：
   1. 關閉路由器電源。
   2. 按住物理WPS 按鈕（不是重置按鈕）。
   3. 按住的同時WPS 按鈕，開啟路由器電源開。
   4. 繼續持有 WPS 持續 15 秒，直到電源 LED 開始快速閃爍，然後變暗/重新啟動，然後放開。這執行硬體級 NVRAM + /jffs 擦除。

步驟 4：離線刷新韌體並鎖定管理平面¶

1. 在連接乙太網路的電腦上，開啟私人/隱身瀏覽器視窗並前往路由器的預設 IP (http://192.168.1.1, 192.168.0.1, 或 192.168.50.1）。
2. 離線完成初始設定精靈，並立即設定唯一的 20 個字元的管理員密碼（切勿重複使用您的 Wi-Fi 密碼作為路由器管理員密碼）。
3. 前往Administration / System -> Firmware Upgrade -> Manual / Local File Upload，選擇您在步驟1中下載的官方韌體文件，並進行刷新。即使版本號碼與已安裝的版本號相同，重新刷新也會覆蓋 rootfs 系統映像並驗證加密韌體簽章。
4. 路由器在韌體刷新後重新啟動後，請在重新插入網路電纜之前驗證這些 6 強制強化設定：
5. UPnP （Universal Plug and Play)：設定為DISABLED / OFF。
6. Remote Management （WAN Web Access / HTTPS from WAN / SSH from WAN)：設定為DISABLED / OFF。
7. TR-069 / CWMP （在零售路由器上）：設定為 DISABLED / OFF（除非光纖 ISP 網關需要）。
8. WPS （Wi-Fi Protected Setup PIN / 按鈕）：設定為 DISABLED / OFF。
9. Wi-Fi Security：設定為WPA3-Personal（或 WPA2/WPA3-Personal AES;從不 WPA/TKIP 或 WEP）使用全新的 Wi-Fi 密碼。
10. WAN DNS Server：手動將主 DNS 設定為 1.1.1.1 (Cloudflare) 或 9.9.9.9（Quad9 惡意軟體阻止 DNS）和輔助 DNS 至 1.0.0.1 或 149.112.112.112（並啟用DNS-over-TLS / DoT 在路由器上（如果支援）。
11. 插上 WAN （網際網路）電纜連接迴路由器。

第 3 階段：清除所有裝置上受污染的 DNS 快取並啟用加密 DNS (DoH / DoT）¶

即使您的路由器 100% 乾淨，在劫持期間連接的任何筆記型電腦、桌上型電腦或智慧型手機仍可能保存有毒的 DNS 記錄（TTL 最多 7 天），修改後的本地 hosts 文件，或中毒的瀏覽器套接字池。

第一步：檢查本地 hosts 檔案並刷新作業系統+瀏覽器 DNS 快取¶

1. 驗證惡意軟體沒有將虛假條目寫入您電腦的本機 hosts 文件：
2. Windows：以管理員身分開啟記事本並開啟C:\Windows\System32\drivers\etc\hosts。每一行都是乾淨的預設值 hosts 文件應該以 # （評論）。刪除任何已對應真實網域的線路（google.com, microsoft.com、銀行站點或防毒域）到奇怪的 IP 位址。
3. macOS / Linux：檢查 cat /etc/hosts 在航廈。
4. 刷新作業系統 DNS 和 ARP 快取：
5. Windows（Run Command Prompt as Administrator）：

   ipconfig /flushdns
   ipconfig /release
   ipconfig /renew
   arp -d *
   

6. macOS (Terminal）：

   sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
   

7. iPhone / iPad / Android：開啟飛航模式 15 秒，然後將其關閉，然後忘記並重新加入 Wi-Fi 網路。
8. 刷新 Chrome、Edge 和 Brave 內部瀏覽器 DNS 和套接字快取：
9. Chromium 瀏覽器獨立於 Windows/macOS 維護自己的內部 DNS 快取。
10. 開啟 Chrome、Edge 或 Brave -> 輸入 chrome://net-internals/#dns 在網址列 -> 點選 Clear host cache。
11. 接下來，點擊Sockets 在左側邊欄 (chrome://net-internals/#sockets) -> 點選 Close idle sockets 和 Flush socket pools。

步驟 2：啟用加密 DNS (DNS-over-HTTPS / DoH 和 DNS-over-TLS / DoT）這樣路由器就再也不能劫持你的 DNS¶

傳統 DNS（UDP port 53）完全未加密且未經身份驗證：任何受損的路由器、ISP、咖啡店 Wi-Fi 或飯店網關都可以攔截您的連接埠 53 請求並偽造虛假答案。啟用DNS-over-HTTPS (DoH) 或 DNS-over-TLS (DoT) 將您的 DNS 查詢封裝在其中 TLS 1.3 透過加密憑證驗證加密，這意味著即使您的路由器被駭客攻擊，它也無法讀取或更改單一 DNS 查找：

第 4 階段：審核暴露的內部設備 UPnP 是開放的（NAS, Cameras, 和 RDP）¶

如果您在第一階段的路由器審核顯示未經授權 UPnP 連接埠轉送（或 DMZ 在重置路由器之前，暴露）已處於活動狀態，您必須驗證攻擊者在這些防火牆連接埠開啟時沒有在內部裝置上建立立足點：

1. 檢查家庭/辦公室 NAS 設備（Synology DiskStation, QNAP, TrueNAS）：
2. 開啟 NAS 控制面板 -> Security Advisor / QuFirewall / Connection Logs。
3. 尋找來自外部 IP 位址、新建立的管理員帳戶或意外計劃的失敗或成功的管理員登入嘗試 cron 任務。
4. 在 NAS 設定內（Control Panel -> External Access -> Router Configuration), 取消選取所有自動 UPnP 路由器設定框，以便 NAS 不再嘗試開啟路由器連接埠。
5. 檢查 Windows 電腦 RDP （Port 3389) 暴力入侵：
6. 如果 TCP 3389 出現在您的路由器中 UPnP 表，開啟 Windows 事件檢視器（eventvwr.msc) -> Windows Logs -> Security 並過濾 Event ID 4624 （成功登錄，登入類型 10 RemoteInteractive） 和 Event ID 4625 （登入失敗）。
7. 停用 Windows 遠端桌面（Settings -> System -> Remote Desktop -> OFF）除非嚴格透過加密的點對點網狀 VPN 存取（Tailscale, WireGuard, 或 ZeroTier）。
8. 將智慧電視、IP 攝影機和物聯網設備隔離到訪客 Wi-Fi 網路上 (VLAN / AP Isolation）：
9. 絕大多數內部 UPnP 路由器入侵源自主 Wi-Fi 網路上的廉價物聯網攝影機、智慧插頭或 Android 電視盒，這些裝置會加入殭屍網路並發送 UPnP IGD 命令到 192.168.1.1。
10. 使用 ** 啟用路由器的 訪客 Wi-Fi 網路Access Intranet / Allow guests to see each other and access my local network 設定為 OFF （Client Isolation)**，並將所有智慧電視、攝影機、掃地機器人和智慧型裝置移至該隔離的訪客 SSID 上，這樣它們就永遠無法與您的路由器的 LAN 管理 IP 進行通訊（192.168.1.1）或您的工作筆記型電腦。

常見問題¶

如果駭客沒有坐在我家裡的 Wi-Fi 上，他們如何更改我家庭路由器內的 DNS 設定？¶

攻擊者使用三種主要方法在不靠近 Wi-Fi 的情況下遠端破壞家庭和小型辦公室路由器：(1) 跨站請求偽造（CSRF) 和 DNS 重新綁定：您在家用電腦上造訪包含惡意廣告腳本的正常網站；該腳本以靜默方式從瀏覽器直接向本機路由器發送 HTTP POST 請求（http://192.168.1.1/apply.cgi），並且如果您的路由器仍然使用預設密碼（管理員 / 管理員 或 管理員 / 密碼），此腳本會在 1 秒內重寫路由器的 WAN DNS 伺服器。 (2) 公開的 WAN 管理或 TR-069 （埠 7547 / 8080 / 8443）：自動網際網路掃描器可尋找遠端管理未開啟或未修補的韌體漏洞的路由器，並直接從網際網路注入指令；和（3） 通用即插即用 廣域網路暴露：較舊或設定錯誤的路由器意外暴露其 通用即插即用 SOAP 守護程式（埠 1900 / 5000）到 WAN 接口，允許互聯網上的任何人添加端口轉發規則或更改 設定DNS伺服器 無需密碼的設定。

為什麼您說著名的“30-30-30 硬重置”在現代路由器上不起作用並且實際上會導致問題？¶

的 30-30-30 重置 （開機時按住 Reset 30 秒，關機時按住 Reset 30 秒，重新開機時按住 Reset 30 秒）是 20 年前專門為 Linksys WRT54G 路由器運行 DD-WRT 在博通上 CFE 引導程式。在過去 12 年製造的幾乎所有現代路由器上（華碩, TP-Link, 美國網件, 林克系統 Velop, 統一網路, 米克羅蒂克），按住物理重置按鈕 插入電源線時 是停止正常啟動並進入的硬體觸發器 引導程式 TFTP 韌體恢復模式 （電源燈緩慢閃爍，等待 TFTP 伺服器，並且 NVRAM 是 不 完全被刪除）。要正確擦拭 NVRAM 在任何現代路由器上恢復出廠預設設置， 路由器完全啟動時保持電源線插入，按住 Reset 針孔 15 至 30 秒，直到指示燈閃爍，然後讓它自行重新啟動。

如果我禁用 UPnP （Universal Plug and Play）在我的路由器上以確保安全，它會破壞我的工作 Zoom 通話、Netflix 串流或網頁瀏覽嗎？¶

不，禁用 通用即插即用 對 Zoom、Microsoft Teams、Netflix、YouTube、Slack、電子郵件或網頁瀏覽的影響為零。 所有標準互聯網應用程式都會啟動 出境 從您的裝置到雲端伺服器的連接，您的路由器的狀態資料包檢查（SPI) NAT 防火牆自動處理，無需 通用即插即用。的 僅 使用的東西 通用即插即用 是點對點多人遊戲機遊戲（PlayStation、Xbox、Nintendo Switch 主機大廳）、BitTorrent 用戶端和自架伺服器（叢）試圖接受不請自來的 入境 網路上陌生人的聯繫。離開 通用即插即用 轉身 關閉 是由 美國國家安全局, 中西醫結合協會, 和 聯邦調查局 因為它可以防止您家中的惡意軟體或惡意物聯網裝置秘密開啟公共網路的防火牆連接埠。

如果我的路由器是租用的 ISP 組合數據機/網關（例如 Comcast Xfinity xFi、AT&T BGW320 或 Spectrum）並且不允許我更改 DNS 伺服器或快閃記憶體韌體怎麼辦？¶

許多 ISP 提供的網關數據機會鎖定 廣域網域名稱系統 Web 介面中的字段，因此客戶無法更改它們，並透過 ISP 的同軸/光纖頭端專門管理韌體 DOCSIS 或 TR-069。如果 ISP 租用的網關表現出惡意 DNS 行為或未經授權的連接埠轉送： (1) 將實體凹入 重置 ISP 閘道背面的針孔 20至30秒 強制恢復出廠設定並刷新 DOCSIS / 光網路終端 從您的 ISP 下載引導檔； (2) 登入您的 ISP 行動應用程式 (無限, 智慧家庭管家, 我的光譜）更改您的帳戶密碼並查看任何應用程式配置 連接埠轉送; (3) 配置 加密的 DNS (衛生部 / 多特）直接在您的筆記型電腦、手機和瀏覽器上 （如上面第3階段所示），或將ISP網關放入 橋接模式 / IP 直通模式 並在其後面連接您自己的安全零售路由器。

相關指南¶

• DNS 劫持、ISP 路由器 WAN 重新配置和強制門戶欺騙
• 受感染的家庭或小型辦公室 NAS (QNAP/Synology)、DeadBolt 勒索軟體和 UPnP 連接埠轉送關閉
• 保護家庭路由器和物聯網設備的安全
• 假 CAPTCHA ClickFix PowerShell Win+R 剪貼簿惡意軟體和 Lumma infostealer 修復
• 零日漏洞緊急修補和報廢 (EoL) 設備隔離
• 按國家/地區劃分的緊急電話號碼

來源和官方指導¶

• 國家安全局（NSA）和網路安全和基礎設施安全局（CISA 聯合網路安全資訊表 - media.defense.gov）：保護家庭網路的最佳實務（停用 UPnP, WAN 管理、遺產 WPS，以及更換報廢 SOHO 路由器）。
• 聯邦調查局（FBI 公共服務公告 I-052518-PSA & KV-Botnet / RaptorTrain 建議）：針對家庭和辦公室路由器的外國網路攻擊者：立即重新啟動以刷新 Stage-2 RAM 有效負載、恢復出廠設定和韌體升級協定。
• 互聯網工程任務組（IETF RFC 8484 - 透過 HTTPS 進行 DNS 查詢（DoH) & RFC 7858 - 傳輸層安全性 DNS 規格（DoT)): 存根到遞歸 DNS 解析的加密驗證和完整性保護。
• 華碩、Netgear 和 TP-Link 官方安全公告：硬體 NVRAM 和 /jffs 分區工廠重置過程與分區恢復過程比較 U-Boot / CFE TFTP 復原狀態。