路由器管理密码多久没换了？我给后台做了一次密码体检，五个检查点两个中招

上个月帮表姐看她家网络，顺手点开192.168.1.1想进后台改个信道。她随口报了个密码：她家宽带账号后六位。我一输，进去了。再一问，这密码是三年前装宽带的师傅设的，她家WiFi密码也是这串数字。三年，一次没换过。

回家我把自己家后台也翻出来看了一眼，虽然没她那么夸张，但也发现一个事：我的管理密码是我设WiFi密码那年顺手起的，跟WiFi密码就差两个字符。等于小偷摸到一把钥匙，拿锉刀蹭两下就能开第二把锁。那天晚上我把全家路由器做了一次彻底的密码体检，五个检查点挨个过，把思路和改法记在这篇里。你花十分钟，也能把自己家的门锁换成真锁。

先想明白一件事：谁会来试你家的后台密码

说到密码安全，很多人的第一反应是「我又不是什么人物，谁闲得来黑我」。这话对了一半。确实没人专门盯着你，但攻击这事儿早就不需要专人盯了。

网上跑着一类东西叫扫描器，全天候对着全网一段一段地敲门，看哪个IP的哪个端口上挂着一个路由器登录页。找到了，就拿字典试：admin、123456、admin123、root、你家这种八位纯数字。一台机器一晚上能试几万个门，试开了也不一定马上干什么，先记下来，回头批量利用。你不用是人物，你只需要是「门没锁的那一排」里的一户。

我之前写远程Web管理那篇的时候提过同事老纪的例子（路由器远程Web管理要不要开）：他开了个Web远程管理，一周回来翻记录，登录失败刷了一页又一页，来源IP全是境外段。那些尝试就是扫描器干的，没人认识他。老纪那件事里有一个细节我一直记着：尝试的账号清一色是admin。也就是说，挡住他的不是密码多强，是账号碰巧不是admin。运气不算防御。

还有一条更近的路：能碰你路由器的人。装宽带的师傅、来住一周的亲戚、连过你家WiFi的邻居小孩。你那串数字密码，在懂一点的人眼里跟贴在门上没区别。别高估陌生人的善意，也别低估熟人的好奇心。

五个检查点，我家两个中招

体检不需要什么工具，就是五个问题挨个问自己。我把自己家的结果写在每条后面，给你当参照。

三个中招的（算上半个）里，最危险的是「跟WiFi密码只差两字符」。因为WiFi密码是家里所有人都知道的，管理密码一旦跟它沾亲带故，等于把进门钥匙挂在连网钥匙旁边。第二个要命的是9位纯数字加年份——字典攻击跑这种组合，快的几分钟。

顺带说一个前提，很多人卡在这步就走不动了：管理密码和WiFi密码是两个东西，一个管进后台，一个管连无线。你要是到现在还分不清，先去看路由器怎么改密码那篇，里面把三条密码（管理、WiFi、宽带）各自的入口拆开了。分清了再回来做体检，不然你连自己在查哪把锁都不知道。

判断密码强度，不用软件，用脑子

网上有测密码强度的网站，但我不建议你把真密码输进去——你家的门钥匙别拿去别人家试。自己在家判断，看三样就够了：长度、字符类型、来源。

长度是硬指标。8位以下现在基本裸奔，12位是及格线。每多一位，暴力尝试的空间是指数级涨的，10位纯数字是一百亿种组合，听着多，对脚本来说就是个把钟头的事；12位混合大小写加数字，字典+暴力一起上都要以年计。你不需要记什么比特数，记住「12位以上」就行。

字符类型决定字典跑得动跑不动。纯数字最弱，纯小写字母次之，混上大小写和数字，字典里那些常见词库基本对不上号。我的起法土但有效：取一句只有我知道的话，比如某年某月在某地吃过的一碗面，取每个字的拼音首字母，中间塞个那年的年份。生成出来的东西像乱码，但我在脑子里能一路推回去，永远忘不掉。

来源是最后一刀。只要这串字符跟「你」有任何公开关联——生日、手机号、门牌号、名字缩写、WiFi密码变体——强度直接打折。因为试密码的字典早就不只是通用词了，撞库来的账号密码表才是主力，你别的平台泄露过什么，人家就拿什么先试。

翻一眼日志，看看有没有人已经敲过门

体检做完静态的，还有个动态动作值得加：去后台翻一眼系统日志，看有没有登录失败的记录。这一步是我做完上面五条之后顺手做的，做完有点后怕。

入口各家不一样，TP-Link在设备管理或应用管理里，水星腾达在系统工具里，华硕在系统日志的分页里。具体每家在哪儿、日志里哪些字眼值得盯，我之前写断网破案那篇时整理过一版（192.168.1.1怎么查看路由器运行日志），照着找就行。这次你要搜的字眼就一个：失败。

我自己家翻出来的结果：一共七条登录失败，时间分散在两个晚上，那正是我手滑输错的两次加上浏览器自动填充旧密码的几次。对得上号，虚惊。判断方法就这个——失败的次数和时间，跟家里人实际输错的情况能不能对上。对得上，是自己人；对不上，比如你压根没输错过，日志里却一串一串的失败，那就是有人在外面试。碰上后者，别研究是谁了，直接把密码改了，改完顺手看一眼远程管理开关是不是关的。被入侵的其他迹象——弹广告、半夜流量异常那些，在路由器被黑有什么迹象那篇里有完整的自查清单，两篇可以一起过。

有个坏消息也得提前说：日志只存最近的几百到几千条，而且断电就清。你要是从没翻过，可能什么都查不到了——这也正常，从今天开始留意就行，别指望它当历史账本。

动手改：十分钟，三条路任选

体检完该动手了。改管理密码这事儿本身不难，难的是别改完把自己锁外面。流程我走过一遍，把顺序给你。

第一步，先把新密码想好、记下来，再动手。别等进了后台改密码的页面才现想，想到一半断了电，旧的失效新的没设成，那就尴尬了。新密码按上面的起法来，12位以上，跟WiFi密码零重合。存哪儿自己选：手机备忘录、密码管理器、写在纸条上贴路由器底下。纸条这个看着土，但对你家里这台门来说，贴在锁旁边的钥匙不叫泄露——外人摸不到你家弱电箱。

第二步，进后台改。入口在「系统设置」或「管理设置」里，名字五花八门，找带「管理密码」「登录密码」字样的就是。手机也能改，但手机后台是阉割版，有的找不到这个入口，建议开电脑改。具体每家路径，路由器管理密码怎么改那篇里手机电脑两条路都写了，照着点就行。

第三步，改完别急着关页面，先干三件事，这是我踩过的坑：一是手机上绑的App（米家、TP-LINK这类）会掉线，重新登一遍，用新密码；二是电脑浏览器里存的旧密码会自动填充错的，第一次进不去别慌，不是被锁了，是浏览器在填旧密码，手动清掉重输，顺手把浏览器存的密码也更新掉；三是如果你之前给亲戚的手机上也存过后台密码，想想还有谁手里有旧钥匙，通知一声，或者干脆不通知——反正旧密码已经失效了。

改的频率说一句就走：不用天天改，一年换一次，加上「可疑迹象随时换」，够了。比频率更重要的是强度，一个12位混合的密码三年不换，也比8位纯数字月月换安全。别把「常换」当勤奋，强度才是本钱。

改完顺手加两道锁

密码是主锁，配两道辅锁，防的水平完全不一样。都是后台里点几下的事。

第一道，确认远程Web管理是关的。这个开关一开，你家后台就挂在公网的一个端口上（常见8080），全世界的扫描器都能来敲门。它跟手机App远程管理不是一个东西——App走的是路由器主动连云的出站通道，大门是关着的；Web远程是入站，等于开了个窗口给全世界。绝大多数家庭用不上Web远程管理，关了不影响你在外面用App管家里。两码事的区别我在远程管理那篇里拆过表，这里不重复。

第二道，关WPS。WPS那个一键连接功能，PIN码是8位纯数字，而且老固件的验证方式有漏洞，几分钟就能被试穿。家里没人用一键连的话，这功能开着纯粹是留后门。哪里关、为什么当天就关，我写WPS那篇时把自己的经历过了一遍（路由器WPS是什么意思），看完你会跟我一样手快。

收尾：一张表收走全家流程

全家流程走完不到二十分钟。我表姐家那次，我给她改完密码关完开关，她问我能不能把WiFi密码也顺便改了。我说今天先不动，一次改一个，出了问题知道是哪儿的事。第二天她家电视盒子连不上网，过来问我，我说你看，这就是为什么一次只动一个变量——排查那篇改密码善后的思路在改完WiFi密码家里掉线那篇里，真到那天你再看也来得及。

收尾说句实在话：路由器这东西，买来那天开始就在替你守全家所有流量。管理密码是唯一的门，十个门里有九个从装好那天就没换过锁。你花二十分钟换一次，这笔账怎么算都值。