# 一次扫描，放倒90万台路由器：2016年德国电信Mirai断网复盘 **概述**：2016年11月27日（周日）午后，德国最大运营商德国电信的宽带网成片掉线——不是光缆被挖断，不是设备烧毁，而是约90万台家庭路由器在遭遇一轮针对7547端口的互联网扫描后，集体陷入「崩溃—重启—再崩溃」的死循环，波及当时近2000万宽带用户中的约5%。本文以德国联邦信息安全局（BSI）当年的确认结论与BBC、Reuters等公开报道为解读主轴，按时间线、根因、处置、责任边界四个维度，复盘这起「攻击没有成功，却照样造成断网」的教科书案例，并回答一个至今有效的问题：管理面暴露在公网上的终端资产，到底意味着什么。 ## 目录 - 一、星期天下午：90万台路由器连环重启 - 二、根因解剖：7547端口与一记失败的开发 - 三、为什么是德国电信：同质化机队的放大效应 - 四、处置复盘：一夜清洗、两波攻击、三国波及 - 五、责任边界：外因断网，运营商要不要赔 - 六、九年后再看：Mirai血统仍在刷新纪录 - 七、结语：管理面也是攻击面 ## 一、星期天下午：90万台路由器连环重启 2016年11月27日是星期天。德国的下午，一种奇怪的报障开始涌入德国电信（Deutsche Telekom）的客服渠道：不是「网速慢」，也不是「上不去」，而是路由器「自己一直重启」——DSL灯反复同步、设备反复断电重启，重启完了没几分钟又掉。据德国电信当年通报与BBC等媒体当时的报道，全国范围内约有90万台家庭路由器受影响，陷入这种重启循环。 对运营商老手来说，这个报障画像非常诡异。挖断光缆，掉线的是一片固定区域；设备宕机，掉线的是一批业务；而「路由器集体重启循环」意味着问题不在网络侧的任何一台核心设备上，而在千家万户的客厅里——你连故障点都摸不到，每一家都是一个独立的事故现场。 更要命的是德国的家庭电话形态。德国固定电话早已完成向VoIP迁移，电话号码就注册在家庭网关上，**路由器重启循环，等于这一户的宽带和固话一起死**。英国O2在2018年那次证书事故里「电话还能打」算是运气好，而2016年的德国，受影响家庭连110、112这样的紧急呼叫都得靠手机。这也是这起事故在德国舆论场上格外刺眼的原因：它断的不只是网。 把当年的公开报道和事后分析拼起来，时间线大致如下： | 时间（2016年） | 事件 | |---|---| | 9月底 | Mirai僵尸网络源代码被人公开到网上，各路变种开始流行 | | 10月21日 | Mirai攻陷DNS服务商Dyn，Twitter、Netflix等欧美大批互联网服务受波及 | | 11月27日 16时前后 | 德国电信全国出现路由器重启风暴，约90万户宽带掉线 | | 11月27日 夜间 | 德国电信在网络边界过滤恶意流量，多数用户逐步恢复 | | 11月28日 清晨 | 攻击出现第二波，部分用户再次掉线，网络侧防护顶住 | | 11月28日起 | 英国TalkTalk、Post Office、KCOM与爱尔兰Eir陆续报告同类路由器故障 | | 11月29日之后 | BSI确认攻击流量与Mirai变种相关；德国电信推进固件修复与问题机型免费换机 | ## 二、根因解剖：7547端口与一记失败的开发 这起事故的根因链条，后来被安全界反复拆解，其中德国联邦信息安全局（BSI）的确认结论和多家机构发布的分析是主要依据。它分成三层：一条暴露的通道、一个没堵上的洞、一记打偏的开发。 **第一层：管理通道直接暴露在公网。** 运营商需要远程管理家里的光猫和网关——开通、改配置、推固件，全靠TR-069（CWMP）这一族协议，而与之配套的TR-064本地管理接口，在部分型号的固件实现中被绑定到了对公网开放的7547/TCP端口上。设计意图是给运营商运维用，实际效果是：**全德国凡是有这个特征的网关，都把管理面挂在了公网上，等着全世界来敲**。做过安全加固的工程师看到这里都会心里一紧——管理面落公网，是安全规范里最典型的红线之一，但在2016年的家宽网络里，它是批量存在的默认现实。 **第二层：SOAP命令注入。** 后来的公开分析（包括安全研究机构和Metasploit利用模块的还原）表明，这批固件在处理TR-064的某些SOAP动作（如SetNTPServers一类配置指令）时存在命令注入缺陷，攻击者无需认证即可在设备上执行任意指令。这正是Mirai变种扫描7547端口的目的：把发现一台、拿下、拖进僵尸网络。 **第三层：也是这起事故最反直觉的一点——开发利用「失败」了，路由器却被打死了。** 与其说这是一次入侵成功，不如说是一次全网规模的「失败利用」：扫描器对着每个开了7547端口的路由器倾泻利用代码，其中大量请求没有完成完整的感染流程，但恶意SOAP请求本身足以让这批固件的Web服务进程崩溃。设备崩溃，看门狗复位，重启；重启回来，下一轮扫描又到，再崩溃。如此往复，一台「没有被拿下」的路由器，就以重启循环的方式永久掉线。 ```mermaid flowchart TD A["僵尸网络扫描全网IP段"] --> B["探测到7547端口开放"] B --> C["发现TR-064接口暴露公网"] C --> D["倾泻SOAP命令注入请求"] D --> E["固件Web服务进程崩溃"] E --> F["看门狗复位自动重启"] F --> G["再次遭遇扫描请求"] G --> H["陷入重启循环"] H --> I["约90万户宽带与固话中断"] I --> J["电信网络边界过滤恶意流量"] J --> K["路由器脱离攻击源"] K --> L["服务逐步恢复"] ``` 给核心网工程师翻译一下这层含义：**断网不需要攻击者「赢」，只需要攻击者「试」**。传统DDoS是用流量洪峰压垮资源，你有容量就能扛；而利用流量是精打细算的小包，绕过一切流量阈值，直接打在设备的软件缺陷上。防御的锚点因此完全不同——不是「扛得住多少带宽」，而是「公网上根本不该有这个口子」。 ## 三、为什么是德国电信：同质化机队的放大效应 同一场Mirai秋冬季攻势里，全球ISP不少，为什么在德国打出了90万台的规模？三个结构性原因，都写在当时的行业分析里。 **其一，运营商标配机队 = 全网单点。** 德国电信和欧洲主流家宽运营商一样，向用户批量提供定制网关，一个型号动辄百万台在网。同型号、同固件、同配置，意味着同一个漏洞全网生效——这在运维上是省钱的优势，在安全上是完美单点。90万台不是「运气差」，是同质化机队遇上全网扫描时的必然量级。 **其二，EOL机型成了网内旧账。** 据当时报道，受影响较重的一批Speedport系列（其中含Zyxel代工型号）里有不少是早已停止固件维护的存量机型——漏洞在网、补丁断供，唯一出路是换硬件。这暴露出运营商资产账上一个长期被忽视的科目：**终端固件生命周期管理**。核心网设备有维保合同盯着，而客厅里的网关，坏了几个月都没人知道它还在网上跑着2011年的固件。 **其三，统一的开通通道放大了暴露面。** 为了零接触开通，这些网关出厂就把管理端口按运营商模板放行。模板是全网统一的，所以「口子」也是全网统一的。攻击者不需要了解德国电信的网络，只需要写好7547端口的扫描逻辑，剩下的交给互联网。 这三条放在一起，就是这起事故真正值得写进运维手册的结论：**规模化的便利设计，在敌意环境下会等比例转化为规模化的脆弱性。** ## 四、处置复盘：一夜清洗、两波攻击、三国波及 德国电信当夜的处置，至今仍是「外因事故」应对的范本，动作分三层，节奏很清楚。 **网络侧清洗先行。** 当晚最关键的一步，不是修路由器（90万台不可能连夜上门），而是在自己的网络边界把发往7547端口的恶意流量过滤掉——先把枪声挡在门外，客厅里的路由器自然就安静下来了。多数用户在深夜至次日凌晨逐步恢复。这就是后来业内常说的「dirty line防御」：在自家网络里替终端挨刀，是运营商手里唯一能全网瞬时生效的手段。 **固件与换机跟进。** 网络稳定后，通过远程管理通道推送修复固件；对停止维护、无法打补丁的存量机型，据当年报道，德国电信提供了免费换机方案。这里有个耐人寻味的闭环：**放倒全网的管理通道（TR-069），同时也成了修复全网最快的通道**——推送固件、变更配置，靠的还是它。通道本身没有原罪，错的只是裸奔。 **第二波攻击顶住了。** 11月28日清晨，攻击流量卷土重来，部分用户再度掉线。但有了夜间的过滤规则，这次的影响被压在很小的量级。当天到随后几天，攻击外溢：据BBC等当时报道，英国TalkTalk、Post Office、KCOM和爱尔兰Eir陆续出现同类路由器故障，共同点是同样基于Zyxel方案、同样暴露了管理接口。同一场扫描扫到哪，哪一片就出事——这也反过来证明，德国不是「被针对」，而是「被扫到」：**在全网扫描的时代，没有人是特殊目标，暴露面就是目标名单。** 整个处置过程中，BSI持续发布态势说明并最终确认了Mirai变种的关联。德国电信没有公布这次事件的整体成本，但换机计划、客服话务、品牌损耗，账单注定不会小——只是比起下面要谈的「责任问题」，这笔账反而不是最值得计较的。 ## 五、责任边界：外因断网，运营商要不要赔 把这一篇放进本栏目近期的复盘系列里看，德国电信这次是个「异类」。Optus两次断网、KDDI 61小时、AT&T扩容事故，根因都是运营商自己的变更或配置缺陷，结局也类似：监管罚款、集体诉讼、高管辞职、主动补偿。而德国电信这次是货真价实的外部攻击，最终没有监管罚款，也没有面向全量用户的现金赔偿——德国电信的立场很明确：不可抗的外因，公司履行的是防护、修复和问题机型换新义务。 这个责任边界划得对不对？从工程师视角看，值得拆成两半说。 **「是不是你的错」和「有没有你的短板」是两回事。** 攻击是外因，这决定了「结果担保」不成立——没有任何运营商能承诺顶住全网级的定向攻击。但复盘照样翻出了内因短板：管理端口批量暴露公网、EOL机型长期在网、单一机型占比过高。这三条没有一条是攻击者造成的，全是自己网络的既有事实。**外因事故的复盘，扒出来的往往还是内因的旧账**——这一点上，它和「内部失误型」事故并没有本质区别，只是代价从罚款变成了成本和口碑。 **换机是义务，赔偿是态度。** 免费为停止支持的机型换新，本质上等于承认「这批设备是我放进了网络、又没能保住它的安全」，这是运营商对自家资产的责任；而对全量用户的现金补偿，在没有过错的情况下，法律上确实站不住。欧洲用户协会当年对此有过争论，但没有形成对德国电信的追责定论。对比后来Optus在2023年断网中因应急呼叫违规吃到千万澳元级罚单的结局，你会发现监管的标尺其实很一致：**盯的从来不是「断没断」，而是「你该防的防了没有、该做的做了没有」。** ## 六、九年后再看：Mirai血统仍在刷新纪录 2016年那批攻击者早已无人认领，但Mirai的血统一直活到今天。按Cloudflare季度威胁报告的口径：2025年1月，一场由约13万台肉鸡组成的Mirai变种僵尸网络打出了5.6Tbps的DDoS纪录；到2025年第四季度，其后续家族（Aisuru-Kimwolf一类）把纪录刷到了31.4Tbps。九年间，攻击流量翻了几个数量级，而Mirai家族的基本打法没变——**还是扫描、还是找暴露的弱点、还是物联网和边缘设备买单**。 在这个背景下回看2016年11月27日，有几条军规不仅没过时，反而在变本加厉： 1. **管理面永远不落公网。** TR-069/ACS通道要走内网专载或白名单源地址，家宽升级到FTTR、Wi-Fi 7网关之后，每台终端上的管理软件只多不少，暴露面管理是第一优先级。 2. **网络侧清洗是最后的兜底。** 终端你管不住（厂商固件、用户不重启、EOL机型），但你管得住自己的网。类似7547端口过滤这种全网分钟级生效的手段，值得为每一类已知攻击面预演。 3. **EOL资产要清账。** 停止固件维护的终端就是网内地雷，要有存量台账和退出时间表——「还能用」和「还能安全地用」是两码事。 4. **单一机型要设占比上限。** 机队同质化的运维红利，要在安全上留出对价；一型百万台的格局，等价于一台百万份的漏洞。 5. **把「重启率」做成全网KPI。** 这次事故最早的可观测信号不是流量异常、不是告警风暴，而是海量的终端重启。什么时候路由器重启率成了网管大屏上的一级指标，这类「失败利用型」断网就能早一小时发现。 还有一条趋势要说透：AI正在降低漏洞发现的门槛，「开发利用失败」这种侥幸会越来越少——2016年是利用代码打崩了路由器，九年后同等条件下，更可能是路由器被真正拿下、变成僵尸网络节点。**当年是「试出来的断网」，将来可能是「拿下的断网」**，防御窗口只会更窄。 ## 七、结语：管理面也是攻击面 2016年11月27日这起事故，没有光缆被挖断的戏剧性画面，没有交换机房烧毁的大火，甚至没有一次成功的入侵。90万台路由器只是被敲了敲门，就集体倒下了。它留给通信行业的那行字，值得抄在每一家运营商的安全规范首页：**你暴露在公网上的每一个管理端口，都是别人攻击清单上的现成条目；而你对「攻击失败」的侥幸，本身就是最大的单点。** 对2026年的工程师，这句话可以再具体一点：审视你网络里每一台可远程管理设备——家宽网关、企业CPE、5G室分网关、IoT直连终端——问三个问题：它的管理通道从哪里可达？它的固件谁在维护？它出事时，我的网络侧有什么手段能在分钟级把攻击挡掉？三个问题里只要有一个答不上来，2016年11月那个周日下午，就还没有真正过去。 --- *注：本文撰写环境联网检索受限。文中2016年事件细节（时间线、约90万台规模、7547端口暴露、英国与爱尔兰的波及情况、免费换机方案）依据BSI当年声明及BBC、Reuters等广泛记录的公开报道撰写；2025年DDoS纪录数据引自Cloudflare季度威胁报告的公开口径。读者可按下列来源名称复核原文。* ## 参考来源 1. [Wikipedia: Mirai (malware)](https://en.wikipedia.org/wiki/Mirai_%28malware%29) — Mirai及其变种2016年秋冬季攻势的全记录，含德国电信断网、Dyn事件与英国爱尔兰波及情况的条目汇总 2. [Cloudflare Learning Center: What is the Mirai botnet?](https://www.cloudflare.com/learning/ddos/glossary/mirai-botnet/) — Mirai僵尸网络的原理、源码泄露背景与2016年重大事件梳理 3. [德国联邦信息安全局 BSI 官网](https://www.bsi.bund.de) — 2016年11月底就该事件的态势说明与确认结论（官网按年份归档，可检索2016年11月Lagebericht） 4. [CyberInsider: Cloudflare mitigates record-breaking 31.4 Tbps DDoS attack in Q4 2025](https://www.cyberinsider.com/cloudflare-mitigates-record-breaking-31-4-tbps-ddos-attack-in-q4-2025/) — 2025年僵尸网络攻击纪录与Mirai后续家族动态 5. [Cloudflare Blog: Defending the Internet — 7.3 Tbps](https://blog.cloudflare.com/defending-the-internet-how-cloudflare-blocked-a-monumental-7-3-tbps-ddos/) — 2025年5月纪录级攻击处置细节，僵尸网络打法的当代样本 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。