中兴2.5G电口光猫F7607P闪存备份供大神分析

adsluser11

  s  h$ E$ e) v$ M3 r- m
, `& u: b4 Y" o- O- ?2 @2 Y# c$ |进了telnet，把闪存备份了出来，本着技术共享的原则，发出来给大家研究，看看有什么漏洞可以利用没


rootfs分区是jffs2格式，我在debian下挂在出来然后打包，方便大家直接研究：
' r4 `" }1 Z/ w1 V! S) [9 M9 L& c4 C
有几个包含个人信息的无关紧要的分区我就没包含进去了，两个kernel分区是一模一样的，就只传了一个，userconfig目录在删除了个人配置后上传
欢迎各位大神研究讨论，打倒奸商
) p, ]3 |. G/ K- M- F2 l

( T, ?9 m! S2 \2 w0 q  W
7 {8 f! g: S( E5 P4 A

) V, M$ @( ?( P7 m6 g
- ?& H2 R  a5 \3 J3 |
2 H& ~& Z4 R" q0 z" L

1. <blockquote>/ # cat /proc/version

复制代码

1. / # cat /proc/mtd
   6 Z( c+ c8 G6 j: P8 y3 ^
2. dev:    size   erasesize  name
   4 e- f7 k4 x& t& r5 Z
3. mtd0: 10000000 00020000 "whole flash"
   
4. mtd1: 00200000 00020000 "u-boot"
   
5. mtd2: 00200000 00020000 "others"
   8 ]0 B  F9 a8 _" b
6. mtd3: 00200000 00020000 "parameter tags"
   & M0 U. @! `  `4 S+ @8 k
7. mtd4: 00200000 00020000 "wlan"
   5 t3 O) U" \- j! C; N% P1 N
8. mtd5: 00800000 00020000 "usercfg"
   4 q: |$ u, |5 {7 Z2 R0 M# A
9. mtd6: 00600000 00020000 "middle"
   5 E: `3 H6 @; [# l; T
10. mtd7: 02800000 00020000 "kernel1"
    
11. mtd8: 02800000 00020000 "kernel2"
    
12. mtd9: 03200000 00020000 "osgi1"
    
13. mtd10: 03200000 00020000 "osgi2"
    
14. mtd11: 03600000 00020000 "plugin_data"
    6 m( H! h5 \/ g; i. N  [
15. mtd12: 024e0000 00020000 "rootfs"

复制代码

1. mount
   
2. /dev/root on / type jffs2 (ro,relatime)
   # h# v3 z) I% l/ r
3. proc on /proc type proc (rw,nosuid,relatime)
   , m. {& g. I% x" n0 v& r, J
4. sysfs on /sys type sysfs (rw,nosuid,relatime)
   
5. debugfs on /sys/kernel/debug type debugfs (rw,nosuid,relatime)
   
6. /dev/mtdblock3 on /tagparam type jffs2 (rw,relatime)
   , c/ N! X4 ~% s. b" V1 n
7. tmpfs on /var type tmpfs (rw,relatime,size=20480k)
   % U' U8 w6 u7 b3 M7 c& g, d5 e/ k
8. tmpfs on /upgtempfile type tmpfs (rw,relatime,size=102400k)
   % Z7 G, Y' k8 Y, X( t1 c
9. tmpfs on /var/osstmp type tmpfs (rw,relatime,size=2048k)
   
10. tmpfs on /mnt type tmpfs (rw,relatime,size=2048k)
    2 d" F: P4 \( N: b( G+ {7 w1 P, R  P
11. tmpfs on /var/felix-temp type tmpfs (rw,relatime,size=16384k)
    8 Z& g2 p( t2 S0 a
12. tmpfs on /tmp type tmpfs (rw,relatime,size=15360k)
    % h+ H* ?; K7 N0 ]3 y/ B/ W
13. /dev/mtdblock5 on /userconfig type jffs2 (rw,relatime)
    
14. /dev/mtdblock6 on /usr/local/ct type jffs2 (rw,relatime)
    
15. ubi0_0 on /usr/tmp type ubifs (ro,sync,relatime)
    
16. /dev/loop0 on /usr/java type squashfs (ro,relatime)
    
17. ubi1_0 on /usr/plugin type ubifs (rw,sync,relatime)
    
18. /dev/mtdblock4 on /wlan type jffs2 (rw,relatime)
    + D2 k1 H0 Q; d* x! U
19. cgroup_root on /sys/fs/cgroup type tmpfs (rw,relatime)
    1 _: t8 u* q: w" }
20. cpu on /sys/fs/cgroup/cpu type cgroup (rw,relatime,cpu)
    
21. cpuacct on /sys/fs/cgroup/cpuacct type cgroup (rw,relatime,cpuacct)
    
22. cpuset on /sys/fs/cgroup/cpuset type cgroup (rw,relatime,cpuset)
    ' ^* |$ G2 t$ _1 c( a! z
23. memory on /sys/fs/cgroup/memory type cgroup (rw,relatime,memory)
    
24. /dev/sda on /mnt/usb1_1 type fuseblk (rw,relatime,user_id=0,group_id=0,allow_other,blksize=4096)

复制代码

1. /usr/java/bin # ls /bin
   " K; O  M) X6 A5 l+ F
2. ash               gpon_omci         netstat           sleep
   ; k, r  p' T& z, l
3. bndmange          gpontest          nice              smbd
   ( u4 Y, u# y! s; I$ A
4. bobtest           grep              nmbd              smbpasswd
   ' E2 h- y3 |7 V' p$ o
5. brctl             gunzip            ntfs-3g           switchtst
   7 h' j( a7 k' k) G
6. buservice         gzip              oamtest           sync
   
7. busybox           hostname          openl2tpd         tar
   ; [6 ^6 j0 K* e. |% l: e
8. cat               httpd             opticaltst        tc
   + P3 ^: S7 `6 t5 ?2 A
9. chgrp             igmp_proxy        osgid             tcping
   
10. chmod             ip                p910nd            telnetd
    
11. chown             ip6tables         pc                test_minioltlib
    
12. cmapidbg          ipsec             phddns            testftp
    . b7 Y% [8 W, B7 x9 k' o0 [
13. cp                iptables          ping              touch
    
14. cpio              ipv4protocol      ping6             tr069d
    
15. cspd              ipv6protocol      portmap           traceroute1
    3 L/ _; n7 y  m8 M) K6 A
16. ctsgw_proxyd      kill              pppd              tso
    
17. date              kshell            pppoe-server      umount
    
18. dd                l2tpconfig        ps                uname
    
19. devmem2           ln                pwd               upgradetest
    
20. df                login             redir             upnpd
    
21. dipc              logtousb          rm                usbtest
    
22. dmesg             ls                rmdir             usbtool
    
23. dnsdomainname     lzop              routed            voip
    
24. dnsmasq           memtest           rpm               voipstat
    
25. ebtables          minioltdebug      sdtest            vsftpd
    9 \$ J1 P" A. ~1 s7 p
26. echo              mkdir             sed               wbctl
    
27. egrep             mknod             sendcmd           wgets
    * N) k8 s) K4 g+ o+ r9 @
28. epontest          mld_proxy         setmac            wput
    : @8 n- f, ^4 F0 A- k) e
29. ethdriver_test    mount             sh                wput_ftp
    1 O3 n* X; T  m. C7 E" O9 u
30. fgrep             msntp             shellproxy        wput_tftp
    ! X/ T( ^4 R3 |7 R
31. fpga              multiapd          shellproxy_getty  xpondrvARM32.bin
    9 t- G# s, u: N
32. ftest             multicast_test    shellproxyctrl    z3gateway
    ( f8 w- N  S8 R" o6 w# _2 K
33. fw_flashing       mv                simulation        zcat
    ; v$ V  i5 {0 K2 N
34. getopt            nand              slctool           zxspdtest
    7 r, u6 q5 U& {: }- J
35. 
    
36. 
    
37. /usr/java/bin # ls /sbin
    
38. BCLSockServer  hostapd        lsmod          swapon         ubirename
    
39. band_steering  hostapd_2.4g   mtd_debug      ubiattach      ubirmvol
      Y' t7 ~& d  O. f+ p
40. dump_handler   hostapd_5g     pivot_root     ubicrc32       ubirsvol
    ! T7 ~& L5 |' i  F) D6 ^
41. dutserver      hostapd_cli    poweroff       ubidetach      ubiupdatevol
    
42. dwpal_cli      ifconfig       reboot         ubiformat
    
43. force_roaming  init           rmmod          ubimkvol
    7 ^! S0 q5 ~/ |# M  a
44. getty          insmod         route          ubinfo
    / ^. r! o' B, q; I( B6 @
45. halt           iw             swapoff        ubinize
    

复制代码

1. /userconfig/cfg # cat /proc/cpuinfo
   
2. processor       : 0
   
3. BogoMIPS        : 50.00
   
4. Features        : fp asimd crc32
   9 n7 W! g* R1 j  Z- }! ^& ?4 n
5. CPU implementer : 0x41
   " u$ N7 U# ?" Y: K6 e: `5 @- q
6. CPU architecture: 8
   : f- }# Y- F6 v7 f9 l* {
7. CPU variant     : 0x0
   : V$ O+ o: s4 i- B3 {) o
8. CPU part        : 0xd03
   
9. CPU revision    : 4
   + ~  v! w: w3 b6 O: Z8 ?
10. 
    
11. processor       : 1
    
12. BogoMIPS        : 50.00
    3 }( }) Z6 v: Y8 P" L1 {4 q
13. Features        : fp asimd crc32
    
14. CPU implementer : 0x41
    
15. CPU architecture: 8
    
16. CPU variant     : 0x0
    ) e9 _- p$ h5 k# Z& y9 Y% e4 l
17. CPU part        : 0xd03
    ; i  G8 y) M. H0 t5 j  T
18. CPU revision    : 4
    
19. 
    , Q$ R( A* t4 E% p8 t8 [
20. processor       : 2
    % \7 z% g+ @' p( T
21. BogoMIPS        : 50.00
    ) j5 D+ y( a0 }  K5 M2 ~
22. Features        : fp asimd crc32
    
23. CPU implementer : 0x41
    
24. CPU architecture: 8
    
25. CPU variant     : 0x0
    - `6 O7 @! P/ V" h
26. CPU part        : 0xd03
    0 n+ p. H6 U* g3 F
27. CPU revision    : 4
    % o0 C  _* O* p. [
28. 
    
29. processor       : 3
    + g: q& S, i: d7 Q' i7 A
30. BogoMIPS        : 50.00
    " n1 d' ?# k0 G9 |* g, O* o' D. Y
31. Features        : fp asimd crc32
    
32. CPU implementer : 0x41
    + Y. l+ b7 c; I# [, P# ]. @
33. CPU architecture: 8
    ' g+ a6 _( T! v: ]; h2 V5 ^, h
34. CPU variant     : 0x0
    
35. CPU part        : 0xd03
    ! f! H9 H- m5 t
36. CPU revision    : 4

复制代码

! P" }: P& v) Y

茶521

转下之前回复的贴子：
说下改地区及永久获取telnet权限步骤吧，其实很简单，总结如下：
telnetONU1.6版本（需要官方授权，或者找楼主，联系群内大佬支持，楼主和群内大佬都很热心肠，能看出来都是喜欢折腾的大神...聊天点击楼主建的链接https://stin.to/u5xdx）
2 O: M# R0 s  Z0 u4 A
软件界面直接点击获取用户名和密码，可以得到临时telnet账号密码
更改地区步骤
输入命令：/etc/init.d/regioncode ，获取自己所要切换省份代码，比如陕西315（注意：山西是shanxi2）
8 k! _& K2 Q- {3 S- b8 h- J输入命令：upgradetest sdefconf 315
光猫会自动重启

: a" H( l1 F1 ~4 E切换地区后终于可以正常下发配置了，不用自己手动设置那么麻烦了！
这个应该是陕西第一台正常下发配置的中兴FTTR设备F7607P了吧？哈哈。。。
/ h- f$ s' f4 r, M
中兴和华为这两套FTTR使用下来，这个确实比华为那套强多了（没有贬低的意思，华为那个也够用，只是中兴这个配置确实很强）

获取永久telnet权限步骤：
- E! u7 }# l5 k2 Ssendcmd 1 DB set TelnetCfg 0 TS_Enable 1                开启telnet
$ j+ g1 U  f+ u2 Z: ^! Nsendcmd 1 DB set TelnetCfg 0 Lan_Enable 1               开启本地telnet
sendcmd 1 DB set TelnetCfg 0 Lan_EnableAfterOlt 1  在OLT注册之后继续开启本地telent
7 N, e( w! |$ }/ S6 w/ fsendcmd 1 DB set TelnetCfg 0 TSLan_UPwd XXXX   修改root密码为xxxx
* ]4 i$ M% [. \& @' csendcmd 1 DB save                                                   保存
记得重启光猫
8 X; f6 I- u# \4 f" T
获取telnet后这些已经足够用了，如果想要更多命令，可以参考如下链接
; d6 i! ]. E+ i: ~% L! c$ b* ^https://www.daimajiaoliu.com/daima/7b7570abf4c6802

qiner_1984

! k( Y2 @! |8 L7 W0 B
6 F# `# a+ v# m5 b9 R. p8 r老板有没有G1620的备份文件

adsluser11

1. sendcmd 1 DB set TelnetCfg 0 Lan_Enable 1
   
2. sendcmd 1 DB set TelnetCfg 0 TS_UName root
   , B: k) \- f# ?) h
3. sendcmd 1 DB set TelnetCfg 0 TSLan_UName root
   1 y! b# [9 b8 K# ]5 E
4. sendcmd 1 DB set TelnetCfg 0 TS_UPwd Zte521
   
5. sendcmd 1 DB set TelnetCfg 0 TSLan_UPwd Zte521
   : t5 N, x. X( O' I0 z/ Y  ]$ ~
6. sendcmd 1 DB set TelnetCfg 0 Max_Con_Num 999999
   
7. sendcmd 1 DB set TelnetCfg 0 WanWebLinkToTS 1
   
8. sendcmd 1 DB set TelnetCfg 0 ExitTime 99999999
   % E+ J; K8 }$ w+ n: _  E% V
9. sendcmd 1 DB set TelnetCfg 0 CloseServerTime 99999999
   4 X  `0 n4 m) ]0 A6 A" g
10. sendcmd 1 DB set TelnetCfg 0 InitSecLvl 3
    
11. sendcmd 1 DB save
    
12. reboot

复制代码

) x# b( O! {4 B# m6 SInitSecLvl猜测是控制root用户名权限的，山东移动定制版默认为3，河南联通为0，河南联通的root账户登陆后运行很多命令都权限不足，改为3后正常

uin

感谢楼主大神分享！支持一波！！！！！

caijay2009

请教一下，debian如何挂载jffs2格式。并且打包导出

adsluser11

caijay2009 发表于 2022-9-11 12:49
5 q4 s2 p3 g8 x. ~请教一下，debian如何挂载jffs2格式。并且打包导出

安装mtdram，生成虚拟的mtdblock设备，然后把提取出来的闪存镜像dd到虚拟的mtdblock，然后挂载出来。其他格式的分区镜像都同理

qwer550055

这个能补全界面吗？

ht514414031

请教一下，怎么telnet进的啊

adsluser11

ht514414031 发表于 2022-9-11 16:59
请教一下，怎么telnet进的啊

工具是别人的，远程帮我开启的，目前不会破解软件

ahsxxl

有大神分析一下，CMCC，成功的引起我的强迫症