攻击者持续一年尝试利用 CVE-2023-33538 漏洞但均未成功

TP-Link路由器高危漏洞遭长期攻击，为何黑客屡屡失败？

一个针对老旧型号TP-Link路由器的高危安全漏洞，在过去长达一年多的时间里，持续吸引着黑客的大规模攻击尝试。然而，一个有趣的现象是，尽管攻击活动频繁且猛烈，但实际成功的入侵案例却极为罕见。这个被标识为CVE-2024-33538的漏洞，CVSS危险等级评分高达8.8分，其核心问题存在于路由器Web管理界面的一个特定组件——/userRpm/WlanNetworkRpm。受此漏洞影响的设备主要包括TL-WR940N v2/v4、TL-WR740N v1/v2以及TL-WR841N v8/v10等一批已停产的经典家用路由器型号。

该漏洞的严重性已获得官方网络安全机构的确认。美国网络安全和基础设施安全局（CISA）已于2025年6月将其正式列入“已知被利用漏洞（KEV）目录”，并强制要求所有联邦机构在7月7日前完成修补。实际上，此漏洞的技术细节早在2024年6月就已公开披露。问题的根源在于/userRpm/WlanNetworkRpm接口的ssid1参数未能对用户输入进行充分过滤和净化，导致攻击者能够通过精心构造的HTTP请求，将恶意系统命令“注入”并执行。虽然相关的漏洞利用代码（PoC）曾在网络上短暂流传，但目前仍可通过部分网页存档服务检索到其历史记录。

攻击活动详细技术分析

攻击者具体采用了何种手段？根据Palo Alto Networks Unit 42威胁情报团队发布的研究报告，他们的全球网络遥测系统在2025年6月该漏洞被列入KEV目录前后，监测到了攻击流量的显著激增。攻击模式具有高度一致性：黑客向目标路由器的/userRpm/WlanNetworkRpm.htm页面发送HTTP GET请求，试图滥用其中的ssid参数（注：实际漏洞参数为ssid1）来执行预置的恶意操作。简而言之，攻击载荷旨在从远程服务器下载一个名为arm7的恶意ELF可执行文件至设备的/tmp临时目录，随后修改文件权限并携带参数运行该程序。

一个值得注意的细节是，所有这些攻击请求均使用了经过Base64编码的默认管理员凭证admin:admin进行HTTP基本认证，整个攻击流程呈现出典型的Mirai家族物联网僵尸网络特征。报告进一步分析指出，这个arm7恶意样本与已知的Condi IoT僵尸网络程序高度同源，因其代码内部多次出现了“condi”特征字符串。一旦在设备上被激活，该恶意软件便会主动连接其命令与控制（C2）服务器，并通过监听网络套接字中的特定指令字节码来执行各种操作，包括上报设备状态、启停控制、切换锁定模式，甚至激活内嵌的轻量级HTTP服务器。

恶意软件的自我更新与传播策略

该僵尸网络在自我更新与横向传播机制上也设计得较为完善。当接收到更新指令时，恶意程序会调用内部函数删除自身旧版本，随后连接一个硬编码的C2服务器地址（51.38.137[.]113），下载适配多种CPU架构（如ARM、MIPS）的新版本木马。其背后的C2基础设施经溯源分析，与历史上已知的Mirai变种僵尸网络活动存在关联。更需警惕的是，在接收到特定扩散指令后，已被感染的设备会瞬间转变角色，成为一台恶意软件分发服务器。它会随机选择一个本地端口开启HTTP服务，专门用于向同一局域网内其他存在漏洞的设备投递恶意程序，从而实现僵尸网络规模的自动化横向扩张。

漏洞利用失败的根本原因深度剖析

既然攻击链条看似环环相扣，为何持续一年的攻击却收效甚微？Palo Alto Networks的研究人员通过技术复现深入分析了漏洞利用失败的关键原因。漏洞的理论根源确系Web界面在处理/userRpm/WlanNetworkRpm.htm请求时，对ssid1参数输入缺少净化，理论上攻击者可构造包含系统命令的SSID值，最终通过shell获得执行权限。完整的理论利用路径包括：HTTP请求解析→提取SSID参数值→存储至配置结构→检测配置变更→构建包含恶意SSID的iwconfig命令字符串→通过system()函数调用shell执行。

然而，研究人员在通过固件模拟环境进行漏洞复现时，发现了两个致命障碍：首先，访问该管理端点需要有效的身份认证，而攻击者通常只能尝试默认或弱密码；其次，也是更关键的一点，这些老旧路由器搭载的是极度精简的BusyBox shell环境，其中普遍缺失wget、curl等用于下载恶意软件的关键网络工具。报告结论明确指出：“无论是公开的漏洞利用代码，还是我们实际监测到的在野攻击流量，均未能成功入侵我们所分析的TP-Link路由器测试环境。深入的固件分析表明，理论上的漏洞存在性与实际可利用性之间存在着巨大鸿沟。”

现实攻击中暴露的三大关键缺陷

具体而言，在观测到的真实攻击活动中，至少暴露出以下三个主要缺陷：第一，大量攻击请求因使用错误或无效的凭证而根本无法通过身份验证关卡；第二，攻击者错误地使用了ssid参数，而非存在漏洞的正确参数ssid1，导致攻击无效；第三，攻击载荷的核心步骤依赖于调用wget命令从远程下载恶意文件，而该工具在目标设备的精简版固件中根本不存在。

这一案例典型地反映了在野物联网攻击中普遍存在的现象：攻击者往往依赖不完整、不准确或未经充分测试的漏洞利用代码，对大量目标进行盲目的扫描和批量攻击尝试。其结果就是，攻击行为在流量规模上看似庞大凶猛，但由于对目标设备的实际运行环境、固件版本和配置缺乏深入了解，最终绝大多数尝试都沦为无效的安全“噪音”。对于企业安全运营团队而言，准确识别这类“高流量、低成效”的攻击模式，有助于更精准地筛选真实威胁，优化警报系统，避免陷入无效告警疲劳，从而将有限的防御资源集中在应对真正高风险的安全事件上。