中兴2.5G电口光猫F7607P闪存备份供大神分析

adsluser11

6 }2 p1 l3 S9 F5 J' O& H* H进了telnet，把闪存备份了出来，本着技术共享的原则，发出来给大家研究，看看有什么漏洞可以利用没


5 {3 @- T3 e+ A- U& E3 b% O% m" Trootfs分区是jffs2格式，我在debian下挂在出来然后打包，方便大家直接研究：

# ~8 Y2 P0 |" P- k8 d- p3 B有几个包含个人信息的无关紧要的分区我就没包含进去了，两个kernel分区是一模一样的，就只传了一个，userconfig目录在删除了个人配置后上传
欢迎各位大神研究讨论，打倒奸商
8 d  w% _( N. K8 `3 H; T




6 K4 H4 C. T0 Y1 ~7 \9 V
! ~  a& j3 |" I) I# l

1. <blockquote>/ # cat /proc/version

复制代码

1. / # cat /proc/mtd
   # M! o9 K+ v" j1 J
2. dev:    size   erasesize  name
   
3. mtd0: 10000000 00020000 "whole flash"
   * v# s0 I, q6 m" z
4. mtd1: 00200000 00020000 "u-boot"
   
5. mtd2: 00200000 00020000 "others"
   ; P% F3 z1 h3 D
6. mtd3: 00200000 00020000 "parameter tags"
   & U! D+ O9 C% t! g' C1 E* V/ ?
7. mtd4: 00200000 00020000 "wlan"
   
8. mtd5: 00800000 00020000 "usercfg"
   
9. mtd6: 00600000 00020000 "middle"
   
10. mtd7: 02800000 00020000 "kernel1"
    ( y) N5 K$ G: l7 k4 @+ f( v
11. mtd8: 02800000 00020000 "kernel2"
    
12. mtd9: 03200000 00020000 "osgi1"
    / g  N' A, A  f; h' w3 m
13. mtd10: 03200000 00020000 "osgi2"
    & o0 Q& P! v8 X/ G
14. mtd11: 03600000 00020000 "plugin_data"
    * X: t8 a8 p8 A
15. mtd12: 024e0000 00020000 "rootfs"

复制代码

1. mount
   7 Y3 c( C: i4 @9 A# c' L1 u/ s! v
2. /dev/root on / type jffs2 (ro,relatime)
   
3. proc on /proc type proc (rw,nosuid,relatime)
   
4. sysfs on /sys type sysfs (rw,nosuid,relatime)
   
5. debugfs on /sys/kernel/debug type debugfs (rw,nosuid,relatime)
   
6. /dev/mtdblock3 on /tagparam type jffs2 (rw,relatime)
   # a  {1 V! ]$ ]7 \
7. tmpfs on /var type tmpfs (rw,relatime,size=20480k)
   % i6 g; ?' h. j1 q  m
8. tmpfs on /upgtempfile type tmpfs (rw,relatime,size=102400k)
   0 v( Z7 r" o7 t) U& H# T
9. tmpfs on /var/osstmp type tmpfs (rw,relatime,size=2048k)
   
10. tmpfs on /mnt type tmpfs (rw,relatime,size=2048k)
    ( C( j) y$ f* s8 T7 V
11. tmpfs on /var/felix-temp type tmpfs (rw,relatime,size=16384k)
    . Y# Z# K& o: t) s6 C0 I% y
12. tmpfs on /tmp type tmpfs (rw,relatime,size=15360k)
    
13. /dev/mtdblock5 on /userconfig type jffs2 (rw,relatime)
    - i2 x4 @: \" Z' G* z
14. /dev/mtdblock6 on /usr/local/ct type jffs2 (rw,relatime)
    
15. ubi0_0 on /usr/tmp type ubifs (ro,sync,relatime)
    
16. /dev/loop0 on /usr/java type squashfs (ro,relatime)
    & y; X1 }; v5 K0 l/ d
17. ubi1_0 on /usr/plugin type ubifs (rw,sync,relatime)
    
18. /dev/mtdblock4 on /wlan type jffs2 (rw,relatime)
    
19. cgroup_root on /sys/fs/cgroup type tmpfs (rw,relatime)
    
20. cpu on /sys/fs/cgroup/cpu type cgroup (rw,relatime,cpu)
    ; H  h! {6 |3 e/ f; m
21. cpuacct on /sys/fs/cgroup/cpuacct type cgroup (rw,relatime,cpuacct)
    5 M# g: f( x. d6 @; l
22. cpuset on /sys/fs/cgroup/cpuset type cgroup (rw,relatime,cpuset)
    & B& |  N0 w# t5 ]( Z
23. memory on /sys/fs/cgroup/memory type cgroup (rw,relatime,memory)
    
24. /dev/sda on /mnt/usb1_1 type fuseblk (rw,relatime,user_id=0,group_id=0,allow_other,blksize=4096)

复制代码

1. /usr/java/bin # ls /bin
   
2. ash               gpon_omci         netstat           sleep
   / L7 F. k3 q" D% c( ?: m: c9 l% ?
3. bndmange          gpontest          nice              smbd
   * Z; u) A& g4 ^8 W/ f  h: S
4. bobtest           grep              nmbd              smbpasswd
   % d8 c3 L0 a6 E) W+ x- r2 I9 x# I$ K+ A
5. brctl             gunzip            ntfs-3g           switchtst
   ! b9 r$ z9 q0 C4 N1 y
6. buservice         gzip              oamtest           sync
   
7. busybox           hostname          openl2tpd         tar
   7 s  T& R1 f1 W1 F, q& r
8. cat               httpd             opticaltst        tc
   
9. chgrp             igmp_proxy        osgid             tcping
   5 {' e. `! q* y0 Y3 i% U
10. chmod             ip                p910nd            telnetd
    
11. chown             ip6tables         pc                test_minioltlib
    
12. cmapidbg          ipsec             phddns            testftp
    & s1 \# h9 B+ Z5 D( A. L
13. cp                iptables          ping              touch
    ) b9 V8 x& n" P; r
14. cpio              ipv4protocol      ping6             tr069d
    $ \4 F+ @* S0 l3 ~
15. cspd              ipv6protocol      portmap           traceroute1
      I, M1 I- g! j
16. ctsgw_proxyd      kill              pppd              tso
    % m3 }* G7 ]) }. b+ W7 O
17. date              kshell            pppoe-server      umount
    
18. dd                l2tpconfig        ps                uname
    6 m/ S% y2 x2 u- x# g9 S8 N
19. devmem2           ln                pwd               upgradetest
    * m% H) R4 R- \! @
20. df                login             redir             upnpd
    # y0 F& i% S) r
21. dipc              logtousb          rm                usbtest
    3 \+ _# S9 X' P2 J, M/ f7 ?$ G- n$ ~
22. dmesg             ls                rmdir             usbtool
    6 K/ l% r- ~: |
23. dnsdomainname     lzop              routed            voip
    : R0 E$ G1 P' v+ ?7 E! e. _$ B
24. dnsmasq           memtest           rpm               voipstat
    
25. ebtables          minioltdebug      sdtest            vsftpd
    2 N; r5 Z0 j; T; r8 [5 |1 j# x. n
26. echo              mkdir             sed               wbctl
    
27. egrep             mknod             sendcmd           wgets
    
28. epontest          mld_proxy         setmac            wput
    
29. ethdriver_test    mount             sh                wput_ftp
    
30. fgrep             msntp             shellproxy        wput_tftp
    
31. fpga              multiapd          shellproxy_getty  xpondrvARM32.bin
    # V0 `' Y' h2 k; c
32. ftest             multicast_test    shellproxyctrl    z3gateway
    
33. fw_flashing       mv                simulation        zcat
    
34. getopt            nand              slctool           zxspdtest
    
35. 
    
36. 
    
37. /usr/java/bin # ls /sbin
    
38. BCLSockServer  hostapd        lsmod          swapon         ubirename
    
39. band_steering  hostapd_2.4g   mtd_debug      ubiattach      ubirmvol
    
40. dump_handler   hostapd_5g     pivot_root     ubicrc32       ubirsvol
    
41. dutserver      hostapd_cli    poweroff       ubidetach      ubiupdatevol
    4 @& E: W' [& B) [+ ~- O. T+ S
42. dwpal_cli      ifconfig       reboot         ubiformat
    " C5 Z  u( e3 a* Q7 |$ E" ?4 H7 K* ?
43. force_roaming  init           rmmod          ubimkvol
    
44. getty          insmod         route          ubinfo
    , S3 }8 H7 v3 ?+ k  v
45. halt           iw             swapoff        ubinize
    

复制代码

1. /userconfig/cfg # cat /proc/cpuinfo
   
2. processor       : 0
   
3. BogoMIPS        : 50.00
   & d5 x, }9 R3 n) I
4. Features        : fp asimd crc32
   
5. CPU implementer : 0x41
   # r/ z  L; y5 d1 a) w1 f9 `
6. CPU architecture: 8
   & E: a0 B" m! I, S9 @6 s5 @
7. CPU variant     : 0x0
   
8. CPU part        : 0xd03
   
9. CPU revision    : 4
   % T6 H. v2 M2 Q( e
10. 
    $ i& O* M& a( F" E% Y
11. processor       : 1
    9 m& j! V) S; T  F
12. BogoMIPS        : 50.00
    
13. Features        : fp asimd crc32
    
14. CPU implementer : 0x41
    1 V! x3 D/ u- X" y3 x* g: b
15. CPU architecture: 8
    
16. CPU variant     : 0x0
    & }& Q. `: {1 m4 P4 G
17. CPU part        : 0xd03
    4 }  t% N5 o3 I  J1 _! o2 T
18. CPU revision    : 4
    
19. 
    
20. processor       : 2
    9 X5 T. h: ]6 [
21. BogoMIPS        : 50.00
    
22. Features        : fp asimd crc32
    + w$ Y! ~' B2 s& r# V" y
23. CPU implementer : 0x41
    
24. CPU architecture: 8
    
25. CPU variant     : 0x0
    0 H' h  N4 l+ i2 Z4 D
26. CPU part        : 0xd03
    
27. CPU revision    : 4
    
28. 
    
29. processor       : 3
    
30. BogoMIPS        : 50.00
    - I0 |; s0 k2 c' X
31. Features        : fp asimd crc32
    1 N- t* j( \$ W9 j1 M: T* x
32. CPU implementer : 0x41
    + N/ U- E8 C/ a! T9 |
33. CPU architecture: 8
    
34. CPU variant     : 0x0
    % t- p/ S. A& S) O0 l5 i  I
35. CPU part        : 0xd03
    # _. B+ }' B& S0 M1 }
36. CPU revision    : 4

复制代码

* i, r& J5 v5 C  q

茶521

转下之前回复的贴子：
说下改地区及永久获取telnet权限步骤吧，其实很简单，总结如下：
telnetONU1.6版本（需要官方授权，或者找楼主，联系群内大佬支持，楼主和群内大佬都很热心肠，能看出来都是喜欢折腾的大神...聊天点击楼主建的链接https://stin.to/u5xdx）
$ {7 _% J8 S7 ^) @! L% D# W! w
软件界面直接点击获取用户名和密码，可以得到临时telnet账号密码
更改地区步骤
输入命令：/etc/init.d/regioncode ，获取自己所要切换省份代码，比如陕西315（注意：山西是shanxi2）
输入命令：upgradetest sdefconf 315
$ W. g+ K1 Q; q' G3 \. f光猫会自动重启
/ U8 p) }. ]1 C0 q; f7 l+ h
% K* x/ e# s) M" N切换地区后终于可以正常下发配置了，不用自己手动设置那么麻烦了！
这个应该是陕西第一台正常下发配置的中兴FTTR设备F7607P了吧？哈哈。。。
5 y: U, Q4 g3 Q$ l( l7 X
中兴和华为这两套FTTR使用下来，这个确实比华为那套强多了（没有贬低的意思，华为那个也够用，只是中兴这个配置确实很强）
, O" Q8 q0 `2 h9 k
获取永久telnet权限步骤：
sendcmd 1 DB set TelnetCfg 0 TS_Enable 1                开启telnet
2 K$ S/ |3 C/ j; P& x/ C& f6 Nsendcmd 1 DB set TelnetCfg 0 Lan_Enable 1               开启本地telnet
2 V  ^! y$ I7 K+ C  {3 Xsendcmd 1 DB set TelnetCfg 0 Lan_EnableAfterOlt 1  在OLT注册之后继续开启本地telent
, ]% _3 C; }. ssendcmd 1 DB set TelnetCfg 0 TSLan_UPwd XXXX   修改root密码为xxxx
sendcmd 1 DB save                                                   保存
7 K& Z9 V) ]+ A4 p& ]4 ?/ R记得重启光猫
3 V' d" \" `! L8 S9 [9 h
0 |* z3 `6 c, y; `# M3 i; N) r获取telnet后这些已经足够用了，如果想要更多命令，可以参考如下链接
5 B! K! w" O! ?2 H4 z  L* Mhttps://www.daimajiaoliu.com/daima/7b7570abf4c6802

qiner_1984

; G8 k+ D# A4 J& [9 v- e
老板有没有G1620的备份文件
2 {( R$ j& f4 m

adsluser11

1. sendcmd 1 DB set TelnetCfg 0 Lan_Enable 1
   2 U% P' d' [# Q% U
2. sendcmd 1 DB set TelnetCfg 0 TS_UName root
   
3. sendcmd 1 DB set TelnetCfg 0 TSLan_UName root
   
4. sendcmd 1 DB set TelnetCfg 0 TS_UPwd Zte521
   5 s( G, T. o: |- b: k
5. sendcmd 1 DB set TelnetCfg 0 TSLan_UPwd Zte521
   
6. sendcmd 1 DB set TelnetCfg 0 Max_Con_Num 999999
   
7. sendcmd 1 DB set TelnetCfg 0 WanWebLinkToTS 1
   
8. sendcmd 1 DB set TelnetCfg 0 ExitTime 99999999
   
9. sendcmd 1 DB set TelnetCfg 0 CloseServerTime 99999999
   9 w5 r9 Y1 _6 q: x: Y$ d
10. sendcmd 1 DB set TelnetCfg 0 InitSecLvl 3
    
11. sendcmd 1 DB save
    
12. reboot

复制代码

! j; _9 k, q6 d- W' TInitSecLvl猜测是控制root用户名权限的，山东移动定制版默认为3，河南联通为0，河南联通的root账户登陆后运行很多命令都权限不足，改为3后正常

uin

感谢楼主大神分享！支持一波！！！！！

caijay2009

请教一下，debian如何挂载jffs2格式。并且打包导出

adsluser11

caijay2009 发表于 2022-9-11 12:49
4 K, T: F" t) R% Q: O请教一下，debian如何挂载jffs2格式。并且打包导出

安装mtdram，生成虚拟的mtdblock设备，然后把提取出来的闪存镜像dd到虚拟的mtdblock，然后挂载出来。其他格式的分区镜像都同理

qwer550055

这个能补全界面吗？

ht514414031

请教一下，怎么telnet进的啊

adsluser11

ht514414031 发表于 2022-9-11 16:59
- r' Q) Y" f& i# s2 Z请教一下，怎么telnet进的啊

工具是别人的，远程帮我开启的，目前不会破解软件

ahsxxl

有大神分析一下，CMCC，成功的引起我的强迫症