中兴2.5G电口光猫F7607P闪存备份供大神分析

adsluser11

* f. A( Y3 {; w5 P1 R( m" u* i
) h( P( B/ L' K2 X进了telnet，把闪存备份了出来，本着技术共享的原则，发出来给大家研究，看看有什么漏洞可以利用没

( _% r  P$ S6 P, s
# A# L! n9 b# Z* Vrootfs分区是jffs2格式，我在debian下挂在出来然后打包，方便大家直接研究：

有几个包含个人信息的无关紧要的分区我就没包含进去了，两个kernel分区是一模一样的，就只传了一个，userconfig目录在删除了个人配置后上传
. E4 j" Y" A7 N8 B0 x0 N; X1 d" J欢迎各位大神研究讨论，打倒奸商
+ ^( J) D# U; J" g) O

( h  r8 t5 l; ^; b! @) z& V




, H8 X* I7 D- B+ t2 Z' Q

1. <blockquote>/ # cat /proc/version

复制代码

7 g' ?2 r' q2 @& n

1. / # cat /proc/mtd
   ( Y; z+ M4 M$ q: t
2. dev:    size   erasesize  name
   
3. mtd0: 10000000 00020000 "whole flash"
   ; l' B6 @, |4 X3 G
4. mtd1: 00200000 00020000 "u-boot"
   
5. mtd2: 00200000 00020000 "others"
   4 x3 a4 _4 r" Z# ^2 P
6. mtd3: 00200000 00020000 "parameter tags"
   # U" }! H5 v7 h- ~7 m
7. mtd4: 00200000 00020000 "wlan"
   
8. mtd5: 00800000 00020000 "usercfg"
   
9. mtd6: 00600000 00020000 "middle"
   - ]' M: m$ ^: S5 E
10. mtd7: 02800000 00020000 "kernel1"
    
11. mtd8: 02800000 00020000 "kernel2"
    0 |9 R/ t! p2 y
12. mtd9: 03200000 00020000 "osgi1"
    
13. mtd10: 03200000 00020000 "osgi2"
    7 h; F6 q* n& n' Z) r5 J7 q( s5 \
14. mtd11: 03600000 00020000 "plugin_data"
    
15. mtd12: 024e0000 00020000 "rootfs"

复制代码

1. mount
   
2. /dev/root on / type jffs2 (ro,relatime)
   
3. proc on /proc type proc (rw,nosuid,relatime)
   $ `- @# W* _8 z$ g3 b8 R
4. sysfs on /sys type sysfs (rw,nosuid,relatime)
   
5. debugfs on /sys/kernel/debug type debugfs (rw,nosuid,relatime)
   & i. }6 Y2 B, y
6. /dev/mtdblock3 on /tagparam type jffs2 (rw,relatime)
   
7. tmpfs on /var type tmpfs (rw,relatime,size=20480k)
   9 l; j7 l$ Y$ [/ Q
8. tmpfs on /upgtempfile type tmpfs (rw,relatime,size=102400k)
   " v  I, N% y6 _1 Y6 l
9. tmpfs on /var/osstmp type tmpfs (rw,relatime,size=2048k)
   - P4 p1 r2 ?( P, `; ]  l) h; }
10. tmpfs on /mnt type tmpfs (rw,relatime,size=2048k)
    % Q6 Y8 d  m6 i8 Z- U/ X
11. tmpfs on /var/felix-temp type tmpfs (rw,relatime,size=16384k)
    1 l# j1 ?! O% _2 c
12. tmpfs on /tmp type tmpfs (rw,relatime,size=15360k)
    8 ^' ]( {! E" s
13. /dev/mtdblock5 on /userconfig type jffs2 (rw,relatime)
    : V. U. V: p, x& ?$ H# |0 s
14. /dev/mtdblock6 on /usr/local/ct type jffs2 (rw,relatime)
    $ F! t! Q) Q; ~- D1 n
15. ubi0_0 on /usr/tmp type ubifs (ro,sync,relatime)
    
16. /dev/loop0 on /usr/java type squashfs (ro,relatime)
    4 L! R4 F2 {& F
17. ubi1_0 on /usr/plugin type ubifs (rw,sync,relatime)
    
18. /dev/mtdblock4 on /wlan type jffs2 (rw,relatime)
    
19. cgroup_root on /sys/fs/cgroup type tmpfs (rw,relatime)
    
20. cpu on /sys/fs/cgroup/cpu type cgroup (rw,relatime,cpu)
    . c2 C' |' s, t! l* v
21. cpuacct on /sys/fs/cgroup/cpuacct type cgroup (rw,relatime,cpuacct)
    3 H& L* X! g" P9 L: |0 c5 s8 U; u. ?! j
22. cpuset on /sys/fs/cgroup/cpuset type cgroup (rw,relatime,cpuset)
    9 e1 U* u  \: ^* x' z0 G
23. memory on /sys/fs/cgroup/memory type cgroup (rw,relatime,memory)
    ) P8 K0 w6 s% Z, `1 J! E$ a
24. /dev/sda on /mnt/usb1_1 type fuseblk (rw,relatime,user_id=0,group_id=0,allow_other,blksize=4096)

复制代码

1. /usr/java/bin # ls /bin
   " ]5 N( U! f- E" b5 X- |
2. ash               gpon_omci         netstat           sleep
   
3. bndmange          gpontest          nice              smbd
   
4. bobtest           grep              nmbd              smbpasswd
   
5. brctl             gunzip            ntfs-3g           switchtst
   
6. buservice         gzip              oamtest           sync
   ; {# `: Q3 V$ b# s
7. busybox           hostname          openl2tpd         tar
   7 N- l$ ]. ?9 i/ A3 D+ B  f- I+ j
8. cat               httpd             opticaltst        tc
   " H) U5 j# k: N8 a- x. ^
9. chgrp             igmp_proxy        osgid             tcping
   
10. chmod             ip                p910nd            telnetd
    
11. chown             ip6tables         pc                test_minioltlib
    5 T) M$ ]' U4 \, y4 A* k
12. cmapidbg          ipsec             phddns            testftp
    
13. cp                iptables          ping              touch
    
14. cpio              ipv4protocol      ping6             tr069d
    7 H1 u3 V2 \9 s3 m
15. cspd              ipv6protocol      portmap           traceroute1
    
16. ctsgw_proxyd      kill              pppd              tso
    6 D# `: T6 v& Y; A
17. date              kshell            pppoe-server      umount
    ' m2 W# M6 g- K7 I. h' G
18. dd                l2tpconfig        ps                uname
    
19. devmem2           ln                pwd               upgradetest
    
20. df                login             redir             upnpd
    
21. dipc              logtousb          rm                usbtest
    
22. dmesg             ls                rmdir             usbtool
    ! k1 K7 ?# K+ j2 I  f+ h2 ^
23. dnsdomainname     lzop              routed            voip
    1 ^% K# V3 n5 i1 T
24. dnsmasq           memtest           rpm               voipstat
    
25. ebtables          minioltdebug      sdtest            vsftpd
      p5 ?3 u3 t0 X1 u$ ~0 o( @2 J1 `
26. echo              mkdir             sed               wbctl
    ( c- v# @% G: t( v
27. egrep             mknod             sendcmd           wgets
    0 U; \! p! W& n& t: g0 C
28. epontest          mld_proxy         setmac            wput
    ( T* n+ q  @3 m' ^4 u
29. ethdriver_test    mount             sh                wput_ftp
    
30. fgrep             msntp             shellproxy        wput_tftp
    6 i, t. }6 G; |% x, s
31. fpga              multiapd          shellproxy_getty  xpondrvARM32.bin
    
32. ftest             multicast_test    shellproxyctrl    z3gateway
    
33. fw_flashing       mv                simulation        zcat
    
34. getopt            nand              slctool           zxspdtest
    
35. 
    6 ~! G; o4 O6 ~/ c5 P' r6 |$ b
36. 
    
37. /usr/java/bin # ls /sbin
    
38. BCLSockServer  hostapd        lsmod          swapon         ubirename
    
39. band_steering  hostapd_2.4g   mtd_debug      ubiattach      ubirmvol
    ! [( Z8 n7 J; e- G$ j& S8 R
40. dump_handler   hostapd_5g     pivot_root     ubicrc32       ubirsvol
    7 A/ W' [- o/ E* J0 ?
41. dutserver      hostapd_cli    poweroff       ubidetach      ubiupdatevol
    
42. dwpal_cli      ifconfig       reboot         ubiformat
    7 d) B& Y4 G" M& A/ _8 }
43. force_roaming  init           rmmod          ubimkvol
    & N$ v) R  T/ W/ @
44. getty          insmod         route          ubinfo
    4 {# V* t3 ?& T* y* ~7 f
45. halt           iw             swapoff        ubinize
    , J' G+ M) D5 n

复制代码

1. /userconfig/cfg # cat /proc/cpuinfo
   
2. processor       : 0
   / V3 d2 w0 G" ~% D: r. v- h
3. BogoMIPS        : 50.00
   3 v- c8 A1 t/ m, i5 L' l( I' D
4. Features        : fp asimd crc32
     u& s1 h9 k  V+ T' i1 }
5. CPU implementer : 0x41
   
6. CPU architecture: 8
     K% E3 S  Z; a5 L9 z: Z, e
7. CPU variant     : 0x0
   
8. CPU part        : 0xd03
   
9. CPU revision    : 4
   
10. 
    " K: N6 c; Y) t/ \
11. processor       : 1
    , ~2 k3 ^: `1 c" G" P6 e9 J0 [
12. BogoMIPS        : 50.00
    
13. Features        : fp asimd crc32
    $ Y* ]1 L8 D& N: ?5 z/ t$ ^
14. CPU implementer : 0x41
    2 V  n9 y4 A  c7 n- U* y4 e
15. CPU architecture: 8
    
16. CPU variant     : 0x0
    : N, Y( s2 h5 c7 y
17. CPU part        : 0xd03
    
18. CPU revision    : 4
    
19. 
    % |( Z) s8 ~# s0 {  k
20. processor       : 2
    ; L; n- W, H. v* I; ~- Z& A% Z) t
21. BogoMIPS        : 50.00
    - ~& {. R, m' R6 u3 Y1 C- G
22. Features        : fp asimd crc32
    : z2 z" F; X* u7 ]! d$ i. U7 r
23. CPU implementer : 0x41
    
24. CPU architecture: 8
    
25. CPU variant     : 0x0
    
26. CPU part        : 0xd03
    ; [8 K3 V4 f/ H' O
27. CPU revision    : 4
    . ]8 t- ^$ G, h9 G. s- c
28. 
    - E& N- b3 c0 g! K2 [0 Y6 \
29. processor       : 3
    . g8 H9 c: O: @) ?
30. BogoMIPS        : 50.00
    0 a2 {0 B2 t  l
31. Features        : fp asimd crc32
    / p* g' `; a! v0 l) ]- w  m
32. CPU implementer : 0x41
    
33. CPU architecture: 8
    8 p/ u9 @# z$ E3 I# z
34. CPU variant     : 0x0
    8 D: ^  A( O/ z7 T5 V
35. CPU part        : 0xd03
    0 B# b) {2 r4 }/ V# h% I
36. CPU revision    : 4

复制代码

5 V6 }6 E& r" {1 R) l2 L4 Z# B9 v" n
" G" w% v' x: h9 Z- p9 \6 z  a

茶521

转下之前回复的贴子：
+ F9 W' Z: {7 ?5 K8 C2 w  x说下改地区及永久获取telnet权限步骤吧，其实很简单，总结如下：
telnetONU1.6版本（需要官方授权，或者找楼主，联系群内大佬支持，楼主和群内大佬都很热心肠，能看出来都是喜欢折腾的大神...聊天点击楼主建的链接https://stin.to/u5xdx）
6 i7 J3 R+ y8 P1 f5 p$ ^! i, r
8 K# e0 G0 N' F: F, p- v( e软件界面直接点击获取用户名和密码，可以得到临时telnet账号密码
更改地区步骤
) z8 \% [/ T$ B" O2 C输入命令：/etc/init.d/regioncode ，获取自己所要切换省份代码，比如陕西315（注意：山西是shanxi2）
0 j7 D5 u# U; ^3 d输入命令：upgradetest sdefconf 315
光猫会自动重启
: X6 {. M8 v: r0 q+ y3 R
切换地区后终于可以正常下发配置了，不用自己手动设置那么麻烦了！
+ _! k8 {9 P. B0 D0 C8 [: w0 L这个应该是陕西第一台正常下发配置的中兴FTTR设备F7607P了吧？哈哈。。。
5 t+ f4 |! ~. z$ q. S. }% X5 z
+ c  U! f) t8 r1 i+ t3 R7 y, ]2 @# h中兴和华为这两套FTTR使用下来，这个确实比华为那套强多了（没有贬低的意思，华为那个也够用，只是中兴这个配置确实很强）
; l$ `: Z9 j3 L
获取永久telnet权限步骤：
+ |; w0 v! Z& l1 r% Ysendcmd 1 DB set TelnetCfg 0 TS_Enable 1                开启telnet
2 ?' g; O0 Y2 [, o! I4 Lsendcmd 1 DB set TelnetCfg 0 Lan_Enable 1               开启本地telnet
2 k! g' s7 N. C% r1 C; P$ O- usendcmd 1 DB set TelnetCfg 0 Lan_EnableAfterOlt 1  在OLT注册之后继续开启本地telent
sendcmd 1 DB set TelnetCfg 0 TSLan_UPwd XXXX   修改root密码为xxxx
sendcmd 1 DB save                                                   保存
记得重启光猫
& {; J8 ]7 h" Z
+ m) P4 I2 ]+ r- h获取telnet后这些已经足够用了，如果想要更多命令，可以参考如下链接
3 M8 E0 y1 R1 hhttps://www.daimajiaoliu.com/daima/7b7570abf4c6802

qiner_1984

老板有没有G1620的备份文件
* A8 Q8 F7 ?% c) C

adsluser11

1. sendcmd 1 DB set TelnetCfg 0 Lan_Enable 1
   
2. sendcmd 1 DB set TelnetCfg 0 TS_UName root
   
3. sendcmd 1 DB set TelnetCfg 0 TSLan_UName root
     [" \5 v: f0 x$ m3 [
4. sendcmd 1 DB set TelnetCfg 0 TS_UPwd Zte521
   
5. sendcmd 1 DB set TelnetCfg 0 TSLan_UPwd Zte521
   ! [6 V3 h" Q" y  x" D
6. sendcmd 1 DB set TelnetCfg 0 Max_Con_Num 999999
   : U0 }# u) ?0 c* N! M5 N. S
7. sendcmd 1 DB set TelnetCfg 0 WanWebLinkToTS 1
   5 u* I$ q- V. y7 l! H
8. sendcmd 1 DB set TelnetCfg 0 ExitTime 99999999
   
9. sendcmd 1 DB set TelnetCfg 0 CloseServerTime 99999999
   
10. sendcmd 1 DB set TelnetCfg 0 InitSecLvl 3
    
11. sendcmd 1 DB save
    9 g1 r4 U) _. N! o! C+ ?
12. reboot

复制代码

! z% F  z' ]* jInitSecLvl猜测是控制root用户名权限的，山东移动定制版默认为3，河南联通为0，河南联通的root账户登陆后运行很多命令都权限不足，改为3后正常

uin

感谢楼主大神分享！支持一波！！！！！

caijay2009

请教一下，debian如何挂载jffs2格式。并且打包导出

adsluser11

caijay2009 发表于 2022-9-11 12:49
请教一下，debian如何挂载jffs2格式。并且打包导出

安装mtdram，生成虚拟的mtdblock设备，然后把提取出来的闪存镜像dd到虚拟的mtdblock，然后挂载出来。其他格式的分区镜像都同理

qwer550055

这个能补全界面吗？

ht514414031

请教一下，怎么telnet进的啊

adsluser11

ht514414031 发表于 2022-9-11 16:59
1 m7 z  O& B( x' T+ {" A. d请教一下，怎么telnet进的啊

工具是别人的，远程帮我开启的，目前不会破解软件

ahsxxl

有大神分析一下，CMCC，成功的引起我的强迫症