中兴2.5G电口光猫F7607P闪存备份供大神分析

adsluser11

4 K$ a4 p6 H; U
进了telnet，把闪存备份了出来，本着技术共享的原则，发出来给大家研究，看看有什么漏洞可以利用没


) i4 j* ~3 l: J* u* s2 X1 g# ]rootfs分区是jffs2格式，我在debian下挂在出来然后打包，方便大家直接研究：

有几个包含个人信息的无关紧要的分区我就没包含进去了，两个kernel分区是一模一样的，就只传了一个，userconfig目录在删除了个人配置后上传
欢迎各位大神研究讨论，打倒奸商
/ k; V, {! M) D6 Z, V% [/ P

6 B5 c5 J# Q# p" d1 l
! H1 E: P& T! q/ h. a
# U: [/ Z1 K- r
4 b( q5 i# `$ |' }/ y3 [

1 i* J/ u0 ]5 I) ?1 i

1. <blockquote>/ # cat /proc/version

复制代码

9 [2 T8 ?0 X( v8 F, Y$ K

1. / # cat /proc/mtd
   
2. dev:    size   erasesize  name
   & {$ Y2 k- L: M6 u
3. mtd0: 10000000 00020000 "whole flash"
   % a! [5 }7 i& Q  T
4. mtd1: 00200000 00020000 "u-boot"
   ( J& i, Z7 C3 X
5. mtd2: 00200000 00020000 "others"
   ' W# Q; T# Z4 d: S# L
6. mtd3: 00200000 00020000 "parameter tags"
   ( F4 _! e3 {( ]7 B/ o" e, I4 n
7. mtd4: 00200000 00020000 "wlan"
   
8. mtd5: 00800000 00020000 "usercfg"
   $ W$ n8 @2 u& e2 Y% r. y
9. mtd6: 00600000 00020000 "middle"
   
10. mtd7: 02800000 00020000 "kernel1"
    
11. mtd8: 02800000 00020000 "kernel2"
    : v$ ]# J4 l( D# F
12. mtd9: 03200000 00020000 "osgi1"
    9 ]9 s, g/ U  a
13. mtd10: 03200000 00020000 "osgi2"
    
14. mtd11: 03600000 00020000 "plugin_data"
    
15. mtd12: 024e0000 00020000 "rootfs"

复制代码

1. mount
   
2. /dev/root on / type jffs2 (ro,relatime)
   & S& U+ O% p" g1 i% |
3. proc on /proc type proc (rw,nosuid,relatime)
   
4. sysfs on /sys type sysfs (rw,nosuid,relatime)
   
5. debugfs on /sys/kernel/debug type debugfs (rw,nosuid,relatime)
   
6. /dev/mtdblock3 on /tagparam type jffs2 (rw,relatime)
     }9 b/ S0 c8 T# }
7. tmpfs on /var type tmpfs (rw,relatime,size=20480k)
   7 t2 K' g% d- m/ H0 v
8. tmpfs on /upgtempfile type tmpfs (rw,relatime,size=102400k)
   
9. tmpfs on /var/osstmp type tmpfs (rw,relatime,size=2048k)
   $ T6 [& Q6 l" h# M
10. tmpfs on /mnt type tmpfs (rw,relatime,size=2048k)
    
11. tmpfs on /var/felix-temp type tmpfs (rw,relatime,size=16384k)
    & t$ D7 |4 z1 \7 z4 J" [
12. tmpfs on /tmp type tmpfs (rw,relatime,size=15360k)
    9 o- S3 l' F; f
13. /dev/mtdblock5 on /userconfig type jffs2 (rw,relatime)
    3 ~4 L4 I  _9 x* p- j7 o9 G
14. /dev/mtdblock6 on /usr/local/ct type jffs2 (rw,relatime)
    % K: L9 N) m, O* P; P3 _# O7 Q
15. ubi0_0 on /usr/tmp type ubifs (ro,sync,relatime)
    
16. /dev/loop0 on /usr/java type squashfs (ro,relatime)
    3 a( K- o; A# V1 G
17. ubi1_0 on /usr/plugin type ubifs (rw,sync,relatime)
    
18. /dev/mtdblock4 on /wlan type jffs2 (rw,relatime)
    4 [$ C. u) `  U
19. cgroup_root on /sys/fs/cgroup type tmpfs (rw,relatime)
    
20. cpu on /sys/fs/cgroup/cpu type cgroup (rw,relatime,cpu)
    
21. cpuacct on /sys/fs/cgroup/cpuacct type cgroup (rw,relatime,cpuacct)
    
22. cpuset on /sys/fs/cgroup/cpuset type cgroup (rw,relatime,cpuset)
    
23. memory on /sys/fs/cgroup/memory type cgroup (rw,relatime,memory)
    * x% D( I, {/ I7 ^  ?7 g0 C; e
24. /dev/sda on /mnt/usb1_1 type fuseblk (rw,relatime,user_id=0,group_id=0,allow_other,blksize=4096)

复制代码

1. /usr/java/bin # ls /bin
   9 v5 t. q4 y, i. f
2. ash               gpon_omci         netstat           sleep
   / e% X5 |0 R7 M2 v/ e
3. bndmange          gpontest          nice              smbd
   " e/ a3 r5 x' s! c) F1 O, Y
4. bobtest           grep              nmbd              smbpasswd
   4 I. P/ e6 ^1 k% r
5. brctl             gunzip            ntfs-3g           switchtst
   
6. buservice         gzip              oamtest           sync
   - [1 J5 ?3 c" V, A5 P9 Z
7. busybox           hostname          openl2tpd         tar
   
8. cat               httpd             opticaltst        tc
   
9. chgrp             igmp_proxy        osgid             tcping
   1 Q7 q, W: a6 S
10. chmod             ip                p910nd            telnetd
    
11. chown             ip6tables         pc                test_minioltlib
    
12. cmapidbg          ipsec             phddns            testftp
    
13. cp                iptables          ping              touch
    
14. cpio              ipv4protocol      ping6             tr069d
    
15. cspd              ipv6protocol      portmap           traceroute1
    % |+ I4 a* g0 Z- z" |2 J# F
16. ctsgw_proxyd      kill              pppd              tso
    
17. date              kshell            pppoe-server      umount
    
18. dd                l2tpconfig        ps                uname
    9 W" v" l/ @9 k3 M1 {1 h% Y9 |
19. devmem2           ln                pwd               upgradetest
    
20. df                login             redir             upnpd
    ! Z1 X( U! s; ~8 J" n
21. dipc              logtousb          rm                usbtest
    
22. dmesg             ls                rmdir             usbtool
    0 E. A2 Y9 k2 z" s3 z
23. dnsdomainname     lzop              routed            voip
    
24. dnsmasq           memtest           rpm               voipstat
    * {2 e- u" F3 L  C
25. ebtables          minioltdebug      sdtest            vsftpd
    - g, B9 I7 `7 f% H5 z9 j8 o, h
26. echo              mkdir             sed               wbctl
    1 f1 _% d9 [/ B, r. H
27. egrep             mknod             sendcmd           wgets
    
28. epontest          mld_proxy         setmac            wput
    ( S8 [4 V- R5 `3 h; V2 U
29. ethdriver_test    mount             sh                wput_ftp
    
30. fgrep             msntp             shellproxy        wput_tftp
    
31. fpga              multiapd          shellproxy_getty  xpondrvARM32.bin
    
32. ftest             multicast_test    shellproxyctrl    z3gateway
    ! d8 J9 c9 z5 o) N, i
33. fw_flashing       mv                simulation        zcat
    
34. getopt            nand              slctool           zxspdtest
    : Z; C3 M4 k; J/ l" k0 f1 S4 i
35. 
    
36. 
    
37. /usr/java/bin # ls /sbin
    
38. BCLSockServer  hostapd        lsmod          swapon         ubirename
    
39. band_steering  hostapd_2.4g   mtd_debug      ubiattach      ubirmvol
    2 \- X# \9 h  R3 {) @3 t
40. dump_handler   hostapd_5g     pivot_root     ubicrc32       ubirsvol
    
41. dutserver      hostapd_cli    poweroff       ubidetach      ubiupdatevol
    - A. a: o/ ]& u9 b9 Z& ]  q7 D3 O. a, r
42. dwpal_cli      ifconfig       reboot         ubiformat
    
43. force_roaming  init           rmmod          ubimkvol
    9 n1 m6 |0 @( `
44. getty          insmod         route          ubinfo
    
45. halt           iw             swapoff        ubinize
    $ s6 e/ t( B6 Y$ r8 \7 r' }

复制代码

1. /userconfig/cfg # cat /proc/cpuinfo
   0 z$ p' F: p  l/ L8 R
2. processor       : 0
   
3. BogoMIPS        : 50.00
   
4. Features        : fp asimd crc32
   
5. CPU implementer : 0x41
   7 ^/ N- |/ V: m" l
6. CPU architecture: 8
   8 J) M, l  V' l7 p
7. CPU variant     : 0x0
   6 @* A3 m: L. I% }1 k5 [0 P5 Z
8. CPU part        : 0xd03
   : ^1 c" _$ c3 B4 w* ^6 S
9. CPU revision    : 4
   " @& u; Z1 c' r/ b! `4 T; P
10. 
    
11. processor       : 1
    
12. BogoMIPS        : 50.00
    8 B* J1 V8 Z9 J& Q- @) `; J
13. Features        : fp asimd crc32
    2 Q, j! x& s& Z" |, ^9 z' O4 j5 Z' m: B
14. CPU implementer : 0x41
    
15. CPU architecture: 8
    
16. CPU variant     : 0x0
    2 u: X' E( I$ M6 k  s% {
17. CPU part        : 0xd03
    # h/ m# a- y9 @; ]* o$ m
18. CPU revision    : 4
    
19. 
    7 N, x# ?! s# G6 `2 h3 m
20. processor       : 2
    
21. BogoMIPS        : 50.00
    
22. Features        : fp asimd crc32
    8 Y0 e/ f: I7 ~; K
23. CPU implementer : 0x41
    * j0 f/ d7 X+ J2 `( B7 _
24. CPU architecture: 8
    
25. CPU variant     : 0x0
    ' V/ o7 `; _) [4 {
26. CPU part        : 0xd03
    6 x! ^! t) O. v5 O2 `* |$ H
27. CPU revision    : 4
    3 g5 o' w) B4 J( m) Y
28. 
    
29. processor       : 3
    3 W5 G3 w) A( a
30. BogoMIPS        : 50.00
    8 @+ y, U9 V# Q3 c3 y8 g" d
31. Features        : fp asimd crc32
    % u; N! t1 \! ?5 r& ^& c
32. CPU implementer : 0x41
    
33. CPU architecture: 8
    
34. CPU variant     : 0x0
    
35. CPU part        : 0xd03
    7 q3 b1 q+ _7 ?$ q) a; G. j! U
36. CPU revision    : 4

复制代码

9 C' a: [/ I! d

茶521

转下之前回复的贴子：
说下改地区及永久获取telnet权限步骤吧，其实很简单，总结如下：
9 _+ a5 @& g# v  XtelnetONU1.6版本（需要官方授权，或者找楼主，联系群内大佬支持，楼主和群内大佬都很热心肠，能看出来都是喜欢折腾的大神...聊天点击楼主建的链接https://stin.to/u5xdx）
3 l: k! s! O( z* K/ R" i& h% x
软件界面直接点击获取用户名和密码，可以得到临时telnet账号密码
5 g: B8 M/ ^7 b2 A3 o8 L4 q更改地区步骤
  e; t; @7 }$ \3 K) z输入命令：/etc/init.d/regioncode ，获取自己所要切换省份代码，比如陕西315（注意：山西是shanxi2）
输入命令：upgradetest sdefconf 315
光猫会自动重启
' [& Y  @% y  c6 a9 j
! U& m1 s" O4 s5 s9 T+ s8 Q* a% K: i切换地区后终于可以正常下发配置了，不用自己手动设置那么麻烦了！
这个应该是陕西第一台正常下发配置的中兴FTTR设备F7607P了吧？哈哈。。。
5 _  p+ [" i! O- W$ O( I
* d. `+ S; K3 w, W& b8 k# L2 T中兴和华为这两套FTTR使用下来，这个确实比华为那套强多了（没有贬低的意思，华为那个也够用，只是中兴这个配置确实很强）

0 w3 w" T- |2 k. e! K9 z9 j# C获取永久telnet权限步骤：
' @- v+ ?5 R# D3 k- Lsendcmd 1 DB set TelnetCfg 0 TS_Enable 1                开启telnet
, ?. R- [% a, N/ D* asendcmd 1 DB set TelnetCfg 0 Lan_Enable 1               开启本地telnet
+ d  U$ d8 C/ }% w: A1 a6 S* xsendcmd 1 DB set TelnetCfg 0 Lan_EnableAfterOlt 1  在OLT注册之后继续开启本地telent
sendcmd 1 DB set TelnetCfg 0 TSLan_UPwd XXXX   修改root密码为xxxx
sendcmd 1 DB save                                                   保存
6 n- X: ^$ H! M4 J" m$ s& r' Y记得重启光猫
- K9 ~8 ?# h! ^* ]- n
* }  M* G8 Y% ]% j" @获取telnet后这些已经足够用了，如果想要更多命令，可以参考如下链接
https://www.daimajiaoliu.com/daima/7b7570abf4c6802

qiner_1984

老板有没有G1620的备份文件

adsluser11

1. sendcmd 1 DB set TelnetCfg 0 Lan_Enable 1
   
2. sendcmd 1 DB set TelnetCfg 0 TS_UName root
   
3. sendcmd 1 DB set TelnetCfg 0 TSLan_UName root
   
4. sendcmd 1 DB set TelnetCfg 0 TS_UPwd Zte521
   
5. sendcmd 1 DB set TelnetCfg 0 TSLan_UPwd Zte521
   
6. sendcmd 1 DB set TelnetCfg 0 Max_Con_Num 999999
   
7. sendcmd 1 DB set TelnetCfg 0 WanWebLinkToTS 1
   
8. sendcmd 1 DB set TelnetCfg 0 ExitTime 99999999
   % W4 K0 J% c* ~4 G$ h3 A8 t
9. sendcmd 1 DB set TelnetCfg 0 CloseServerTime 99999999
   
10. sendcmd 1 DB set TelnetCfg 0 InitSecLvl 3
    % u  [2 ?6 f' |2 V) Q4 g( B
11. sendcmd 1 DB save
    7 w, j& l% u& A& T( l) \  x& Q2 |
12. reboot

复制代码

InitSecLvl猜测是控制root用户名权限的，山东移动定制版默认为3，河南联通为0，河南联通的root账户登陆后运行很多命令都权限不足，改为3后正常

uin

感谢楼主大神分享！支持一波！！！！！

caijay2009

请教一下，debian如何挂载jffs2格式。并且打包导出

adsluser11

caijay2009 发表于 2022-9-11 12:49
  A) n4 M8 A. u% ]% e请教一下，debian如何挂载jffs2格式。并且打包导出

安装mtdram，生成虚拟的mtdblock设备，然后把提取出来的闪存镜像dd到虚拟的mtdblock，然后挂载出来。其他格式的分区镜像都同理

qwer550055

这个能补全界面吗？

ht514414031

请教一下，怎么telnet进的啊

adsluser11

ht514414031 发表于 2022-9-11 16:59
& R: S' |; P# }  ^, G0 c请教一下，怎么telnet进的啊

工具是别人的，远程帮我开启的，目前不会破解软件

ahsxxl

有大神分析一下，CMCC，成功的引起我的强迫症