D-Link一款DSL路由器日前发现DNS劫持漏洞，此漏洞可使黑客远程修改DNS设置并劫持用户通信数据。安全研究员表示，因为多家生产商都使用有此漏洞的固件，其影响可能波及其他网络设备。

一份针对D-Link DSL-2740R型双功能ADSL无线路由器的概念验证性漏洞利用报告在周二被公开，D-Link和其他生产商的更多设备都有可能受影响。

这一漏洞实际上位于ZyXEL（合勤）通信公司研发的路由器固件ZynOS中，包括D-Link、普联技术和中兴在内的多家网络设备生产商都将ZynOS应用在了旗下的各种产品中。

攻击者不需要访问凭证即可在受影响的设备上利用此漏洞，不过，设备的网页管理接口倒是确实需要能访问到。

若是管理接口暴露在互联网上——路由器有时为了能够远程管理会配置成这样——漏洞被利用的风险也就更高。但是即使只能从本地局域网进行管理，黑客仍旧可以使用跨站请求伪造（CSRF）技术来访问路由器的管理接口。

CSRF是通过劫持用户的浏览器，当用户访问被黑站点或点击恶意链接时，进行非授权操作。从网站下载的恶意代码可以操纵浏览器向路由器常用的局域网IP发送特意构造的HTTP请求。

互联网上就曾经发现过针对路由器拥有者的大规模CSRF攻击，攻击者意图用自己的服务器顶替路由器上配置的DNS服务器。

DNS服务器在网络中是不可或缺的角色，他们将人类容易理解的网站名称翻译成计算机间相互交流的数字IP地址。如果路由器使用了恶意DNS服务器，由这台路由器伺服的计算机想访问合法网站的时候，攻击者就能将其引导到恶意服务器上。

2014年3月，互联网安全研究组织Team Cymru曝光了一起全球性攻击事件，多达30万台家用路由器受害，DNS设置被篡改。那次攻击事件中，攻击者就是利用了ZynOS的另一个漏洞，所用技术之一也很可能是CSRF。

Donev并没有向D-Link报告漏洞的存在，而据他所知，此漏洞目前还是一个零日漏洞（已公开但未打补丁的漏洞）。

截止发稿，D-Link官方尚未对漏洞信息做出回应。