中兴2.5G电口光猫F7607P闪存备份供大神分析

adsluser11

" {) s& G6 U6 L3 M进了telnet，把闪存备份了出来，本着技术共享的原则，发出来给大家研究，看看有什么漏洞可以利用没


$ P, [  k3 q# s" {6 e" nrootfs分区是jffs2格式，我在debian下挂在出来然后打包，方便大家直接研究：

有几个包含个人信息的无关紧要的分区我就没包含进去了，两个kernel分区是一模一样的，就只传了一个，userconfig目录在删除了个人配置后上传
! i6 V6 T: E9 B4 A' j欢迎各位大神研究讨论，打倒奸商

' a! N7 D1 T% p


7 M6 l0 N6 Y/ T) v4 a4 g& X
# L% |7 T( L7 o, Y
% p8 ^5 h  p/ m% n+ @

1. <blockquote>/ # cat /proc/version

复制代码

" p9 n1 Z. V  f( D" D/ o8 \5 y

1. / # cat /proc/mtd
   # S/ W9 Z/ u$ k: R5 @) K. J
2. dev:    size   erasesize  name
   * q/ Z  H# L  D/ r8 |* D
3. mtd0: 10000000 00020000 "whole flash"
   1 Z0 w# ]& X" O3 x1 s: g
4. mtd1: 00200000 00020000 "u-boot"
   
5. mtd2: 00200000 00020000 "others"
   
6. mtd3: 00200000 00020000 "parameter tags"
   
7. mtd4: 00200000 00020000 "wlan"
   
8. mtd5: 00800000 00020000 "usercfg"
   & K) q/ d( T2 S- _6 t; I
9. mtd6: 00600000 00020000 "middle"
   
10. mtd7: 02800000 00020000 "kernel1"
    ' i4 P. v7 o6 g' A# H' u7 N
11. mtd8: 02800000 00020000 "kernel2"
    / U5 C& t& L! z2 a1 W# g$ }; M) C
12. mtd9: 03200000 00020000 "osgi1"
    
13. mtd10: 03200000 00020000 "osgi2"
    5 u  R' I, c* h. l( `
14. mtd11: 03600000 00020000 "plugin_data"
    
15. mtd12: 024e0000 00020000 "rootfs"

复制代码

1. mount
   : O' s. L$ w- z  G; R% |
2. /dev/root on / type jffs2 (ro,relatime)
   
3. proc on /proc type proc (rw,nosuid,relatime)
   
4. sysfs on /sys type sysfs (rw,nosuid,relatime)
   6 C% z' t% u* M3 k
5. debugfs on /sys/kernel/debug type debugfs (rw,nosuid,relatime)
   
6. /dev/mtdblock3 on /tagparam type jffs2 (rw,relatime)
   
7. tmpfs on /var type tmpfs (rw,relatime,size=20480k)
   
8. tmpfs on /upgtempfile type tmpfs (rw,relatime,size=102400k)
   / ^: ?. n' y) \  R$ O/ n0 [* q
9. tmpfs on /var/osstmp type tmpfs (rw,relatime,size=2048k)
   3 L' @. O+ D/ n9 i7 Y& H
10. tmpfs on /mnt type tmpfs (rw,relatime,size=2048k)
    
11. tmpfs on /var/felix-temp type tmpfs (rw,relatime,size=16384k)
    . I8 o& F1 H" p2 S: Z- p( i6 R
12. tmpfs on /tmp type tmpfs (rw,relatime,size=15360k)
    
13. /dev/mtdblock5 on /userconfig type jffs2 (rw,relatime)
    ; ?' G. Z4 D. ~
14. /dev/mtdblock6 on /usr/local/ct type jffs2 (rw,relatime)
    7 s2 b% @! x$ s& {+ P8 ^
15. ubi0_0 on /usr/tmp type ubifs (ro,sync,relatime)
    
16. /dev/loop0 on /usr/java type squashfs (ro,relatime)
    ( M0 c9 S' |( r  z
17. ubi1_0 on /usr/plugin type ubifs (rw,sync,relatime)
    
18. /dev/mtdblock4 on /wlan type jffs2 (rw,relatime)
    
19. cgroup_root on /sys/fs/cgroup type tmpfs (rw,relatime)
    
20. cpu on /sys/fs/cgroup/cpu type cgroup (rw,relatime,cpu)
    # R/ _  }# k$ C9 S' m# f3 U
21. cpuacct on /sys/fs/cgroup/cpuacct type cgroup (rw,relatime,cpuacct)
    6 J( t4 |& c' V# t# e
22. cpuset on /sys/fs/cgroup/cpuset type cgroup (rw,relatime,cpuset)
    $ Y: A. V! D$ r5 b2 n8 }  K. S
23. memory on /sys/fs/cgroup/memory type cgroup (rw,relatime,memory)
    
24. /dev/sda on /mnt/usb1_1 type fuseblk (rw,relatime,user_id=0,group_id=0,allow_other,blksize=4096)

复制代码

1. /usr/java/bin # ls /bin
   
2. ash               gpon_omci         netstat           sleep
   # l$ }3 R; Q( O0 f* S& V
3. bndmange          gpontest          nice              smbd
   " y* Q& K! E# B% `( f
4. bobtest           grep              nmbd              smbpasswd
   
5. brctl             gunzip            ntfs-3g           switchtst
   & x1 T4 s! f; ~' d
6. buservice         gzip              oamtest           sync
   0 o+ D  b( D3 D, f( O8 Q( {" g, K
7. busybox           hostname          openl2tpd         tar
   3 k/ n" y5 L" i3 ?2 i
8. cat               httpd             opticaltst        tc
   & {% U. ]: {1 g
9. chgrp             igmp_proxy        osgid             tcping
   
10. chmod             ip                p910nd            telnetd
    
11. chown             ip6tables         pc                test_minioltlib
    : b( M' L/ B; a5 J/ C$ d
12. cmapidbg          ipsec             phddns            testftp
    # s! O9 O. [% f1 {, k2 w
13. cp                iptables          ping              touch
    ' u* {2 M" [! H3 o& t$ ^& E
14. cpio              ipv4protocol      ping6             tr069d
    % G/ c4 p) J2 A# ?0 B+ ^& A
15. cspd              ipv6protocol      portmap           traceroute1
    % q5 X- ?5 Z7 e
16. ctsgw_proxyd      kill              pppd              tso
    
17. date              kshell            pppoe-server      umount
    
18. dd                l2tpconfig        ps                uname
    
19. devmem2           ln                pwd               upgradetest
    
20. df                login             redir             upnpd
    
21. dipc              logtousb          rm                usbtest
    - a5 a5 w- C- s; K" J' j8 Z% n
22. dmesg             ls                rmdir             usbtool
    
23. dnsdomainname     lzop              routed            voip
    
24. dnsmasq           memtest           rpm               voipstat
    9 c9 l: N) L* z% p  T
25. ebtables          minioltdebug      sdtest            vsftpd
    / |, q/ C' G5 r' u% P( C
26. echo              mkdir             sed               wbctl
    7 L$ v* q- H% f% j* ]; m7 s
27. egrep             mknod             sendcmd           wgets
    1 Z- _" @$ p" S; a  h8 W+ n; w
28. epontest          mld_proxy         setmac            wput
    ; Q6 R9 W  U4 r& }$ a* C  N
29. ethdriver_test    mount             sh                wput_ftp
    
30. fgrep             msntp             shellproxy        wput_tftp
    / `. s7 E- l# O4 u. T4 K
31. fpga              multiapd          shellproxy_getty  xpondrvARM32.bin
    7 Z1 @& \. h' u1 n8 w# I& L: Z
32. ftest             multicast_test    shellproxyctrl    z3gateway
    ! |* w1 g; _) U3 L  ]
33. fw_flashing       mv                simulation        zcat
    
34. getopt            nand              slctool           zxspdtest
    
35. 
    2 _6 ^  J. e# O2 n
36. 
    
37. /usr/java/bin # ls /sbin
    
38. BCLSockServer  hostapd        lsmod          swapon         ubirename
    
39. band_steering  hostapd_2.4g   mtd_debug      ubiattach      ubirmvol
    ! T( @' S  |  T
40. dump_handler   hostapd_5g     pivot_root     ubicrc32       ubirsvol
    * }8 o! E  R2 F' D  x+ @! H: a
41. dutserver      hostapd_cli    poweroff       ubidetach      ubiupdatevol
    
42. dwpal_cli      ifconfig       reboot         ubiformat
    
43. force_roaming  init           rmmod          ubimkvol
    0 A+ p7 L% ^7 D+ k5 ~
44. getty          insmod         route          ubinfo
    ! A# q/ d! e8 R; G( O) A/ T
45. halt           iw             swapoff        ubinize
    6 R9 v; y# t* ^" W( o

复制代码

1. /userconfig/cfg # cat /proc/cpuinfo
   
2. processor       : 0
   6 r1 h# ~' u, Y) j" G) A
3. BogoMIPS        : 50.00
   
4. Features        : fp asimd crc32
   
5. CPU implementer : 0x41
   
6. CPU architecture: 8
   2 c3 C5 p  x$ C
7. CPU variant     : 0x0
   9 g1 a1 `8 d: X) ^0 l  E
8. CPU part        : 0xd03
   
9. CPU revision    : 4
   & O0 |, G6 |: x4 z, ~, b
10. 
    6 r% t& B$ x, j3 q) ^  W9 f- U
11. processor       : 1
    6 Q" K9 P: Q$ k! p
12. BogoMIPS        : 50.00
    
13. Features        : fp asimd crc32
    
14. CPU implementer : 0x41
    
15. CPU architecture: 8
    
16. CPU variant     : 0x0
    6 @, C" G; _& i7 ?% M" X
17. CPU part        : 0xd03
    
18. CPU revision    : 4
    ( b- J. J( R. Y" R$ t- [9 M
19. 
    
20. processor       : 2
    , ~) g3 `( H! m% v
21. BogoMIPS        : 50.00
    
22. Features        : fp asimd crc32
    
23. CPU implementer : 0x41
    
24. CPU architecture: 8
    " X: O8 z. E( y; S# M4 B
25. CPU variant     : 0x0
    
26. CPU part        : 0xd03
    ! |: \8 P1 l# R  _* ~  U
27. CPU revision    : 4
    
28. 
    
29. processor       : 3
    
30. BogoMIPS        : 50.00
    1 \6 Y  ~  G" c% g; K) R6 Y3 u
31. Features        : fp asimd crc32
    
32. CPU implementer : 0x41
    
33. CPU architecture: 8
    
34. CPU variant     : 0x0
    1 R9 ?* C$ O' Y+ N& o; i
35. CPU part        : 0xd03
    
36. CPU revision    : 4

复制代码

% @; X; s% @3 v0 X3 \% M
6 p* f+ J3 y0 }+ _- u/ m/ o

茶521

转下之前回复的贴子：
5 A' q8 y, C+ g  f7 ^1 ]; S6 y说下改地区及永久获取telnet权限步骤吧，其实很简单，总结如下：
' q% k& z( a9 m1 c) n" H  btelnetONU1.6版本（需要官方授权，或者找楼主，联系群内大佬支持，楼主和群内大佬都很热心肠，能看出来都是喜欢折腾的大神...聊天点击楼主建的链接https://stin.to/u5xdx）

+ }8 T6 S; P$ M: N5 r软件界面直接点击获取用户名和密码，可以得到临时telnet账号密码
更改地区步骤
输入命令：/etc/init.d/regioncode ，获取自己所要切换省份代码，比如陕西315（注意：山西是shanxi2）
输入命令：upgradetest sdefconf 315
8 T0 k1 J) ]0 N) p光猫会自动重启

0 w) G' Y1 R& W% t切换地区后终于可以正常下发配置了，不用自己手动设置那么麻烦了！
4 }* t% Q* X% f3 [这个应该是陕西第一台正常下发配置的中兴FTTR设备F7607P了吧？哈哈。。。
* h" c5 p& o5 ~* {- ~
中兴和华为这两套FTTR使用下来，这个确实比华为那套强多了（没有贬低的意思，华为那个也够用，只是中兴这个配置确实很强）

& ^# Q+ E' n' K8 D, X: ^3 g8 p8 _获取永久telnet权限步骤：
9 f# A6 J/ u6 ^; E5 m1 G: u, usendcmd 1 DB set TelnetCfg 0 TS_Enable 1                开启telnet
sendcmd 1 DB set TelnetCfg 0 Lan_Enable 1               开启本地telnet
4 P4 r9 A2 h/ n( O: F' xsendcmd 1 DB set TelnetCfg 0 Lan_EnableAfterOlt 1  在OLT注册之后继续开启本地telent
& s: g( K7 e0 g; o$ Jsendcmd 1 DB set TelnetCfg 0 TSLan_UPwd XXXX   修改root密码为xxxx
: U. E9 x$ o; h& E! @- _) ssendcmd 1 DB save                                                   保存
$ O/ o- ~2 ~/ E& B2 i- c6 V1 o记得重启光猫

) x6 A) l' \8 D# W+ x3 j获取telnet后这些已经足够用了，如果想要更多命令，可以参考如下链接
( A0 u% ]- ]* u3 K0 J) y, E# f  z, Nhttps://www.daimajiaoliu.com/daima/7b7570abf4c6802

qiner_1984

& B4 n& A- i1 a: a& A
. p  G' \' B" R5 G7 s老板有没有G1620的备份文件

adsluser11

1. sendcmd 1 DB set TelnetCfg 0 Lan_Enable 1
   
2. sendcmd 1 DB set TelnetCfg 0 TS_UName root
   3 I" R" }( |, U
3. sendcmd 1 DB set TelnetCfg 0 TSLan_UName root
   3 _7 O' d0 I+ H( o8 R2 {
4. sendcmd 1 DB set TelnetCfg 0 TS_UPwd Zte521
   , I8 b6 a) |# p( |' P
5. sendcmd 1 DB set TelnetCfg 0 TSLan_UPwd Zte521
   
6. sendcmd 1 DB set TelnetCfg 0 Max_Con_Num 999999
   
7. sendcmd 1 DB set TelnetCfg 0 WanWebLinkToTS 1
   
8. sendcmd 1 DB set TelnetCfg 0 ExitTime 99999999
   - o( h6 }$ i& c5 w, z
9. sendcmd 1 DB set TelnetCfg 0 CloseServerTime 99999999
   5 K9 F! z( v0 z1 W+ C8 w& Z  v. ]& i, }
10. sendcmd 1 DB set TelnetCfg 0 InitSecLvl 3
    
11. sendcmd 1 DB save
    
12. reboot

复制代码

InitSecLvl猜测是控制root用户名权限的，山东移动定制版默认为3，河南联通为0，河南联通的root账户登陆后运行很多命令都权限不足，改为3后正常

uin

感谢楼主大神分享！支持一波！！！！！

caijay2009

请教一下，debian如何挂载jffs2格式。并且打包导出

adsluser11

caijay2009 发表于 2022-9-11 12:49
请教一下，debian如何挂载jffs2格式。并且打包导出

( a6 u7 E) W6 a8 w1 L安装mtdram，生成虚拟的mtdblock设备，然后把提取出来的闪存镜像dd到虚拟的mtdblock，然后挂载出来。其他格式的分区镜像都同理

qwer550055

这个能补全界面吗？

ht514414031

请教一下，怎么telnet进的啊

adsluser11

ht514414031 发表于 2022-9-11 16:59
请教一下，怎么telnet进的啊

工具是别人的，远程帮我开启的，目前不会破解软件

ahsxxl

有大神分析一下，CMCC，成功的引起我的强迫症