中兴2.5G电口光猫F7607P闪存备份供大神分析

adsluser11

进了telnet，把闪存备份了出来，本着技术共享的原则，发出来给大家研究，看看有什么漏洞可以利用没

' `0 z* u2 l5 }: ?, v
  U9 y, S# d4 t6 R' ]3 t; lrootfs分区是jffs2格式，我在debian下挂在出来然后打包，方便大家直接研究：

4 p( }7 V; j, i0 B4 m有几个包含个人信息的无关紧要的分区我就没包含进去了，两个kernel分区是一模一样的，就只传了一个，userconfig目录在删除了个人配置后上传
欢迎各位大神研究讨论，打倒奸商

" [* y/ Y8 O: Y% Q$ O( N

6 B+ V- K) D0 }9 N5 |1 G

2 d7 v! Q: }1 V: u
  y, M$ p* j- Q+ V3 Z+ d/ p

1. <blockquote>/ # cat /proc/version

复制代码

8 k. J6 B7 {* H, N8 A" Y
8 p! _5 ^! W7 M5 c

1. / # cat /proc/mtd
   
2. dev:    size   erasesize  name
   
3. mtd0: 10000000 00020000 "whole flash"
   
4. mtd1: 00200000 00020000 "u-boot"
   
5. mtd2: 00200000 00020000 "others"
   
6. mtd3: 00200000 00020000 "parameter tags"
   
7. mtd4: 00200000 00020000 "wlan"
   . z% j; Q4 r5 c& h+ e- p, d7 P
8. mtd5: 00800000 00020000 "usercfg"
   + g, K5 v; {, b! F6 W0 {# h. _0 J
9. mtd6: 00600000 00020000 "middle"
   
10. mtd7: 02800000 00020000 "kernel1"
      S' B. @" q6 m) ]8 ^3 W& T
11. mtd8: 02800000 00020000 "kernel2"
    
12. mtd9: 03200000 00020000 "osgi1"
      {) _% _& ^4 ]0 e
13. mtd10: 03200000 00020000 "osgi2"
    ' t7 [! U* t. t+ U) P( a
14. mtd11: 03600000 00020000 "plugin_data"
    6 I% @4 f! [+ z% P6 Z3 d3 R
15. mtd12: 024e0000 00020000 "rootfs"

复制代码

1. mount
   
2. /dev/root on / type jffs2 (ro,relatime)
   
3. proc on /proc type proc (rw,nosuid,relatime)
   
4. sysfs on /sys type sysfs (rw,nosuid,relatime)
   - I: K$ ]* M; Q
5. debugfs on /sys/kernel/debug type debugfs (rw,nosuid,relatime)
   ' c  f+ L" C+ G( L
6. /dev/mtdblock3 on /tagparam type jffs2 (rw,relatime)
   
7. tmpfs on /var type tmpfs (rw,relatime,size=20480k)
   
8. tmpfs on /upgtempfile type tmpfs (rw,relatime,size=102400k)
   ! L& v* T9 o0 z( w
9. tmpfs on /var/osstmp type tmpfs (rw,relatime,size=2048k)
   " J/ h( Y+ ~; |- Q  Q  P6 h7 Q
10. tmpfs on /mnt type tmpfs (rw,relatime,size=2048k)
    
11. tmpfs on /var/felix-temp type tmpfs (rw,relatime,size=16384k)
    ; x3 [; B& h: ~* V- K1 P
12. tmpfs on /tmp type tmpfs (rw,relatime,size=15360k)
    # d9 D) F! R4 K% t) D
13. /dev/mtdblock5 on /userconfig type jffs2 (rw,relatime)
    - h- u8 I( \- M
14. /dev/mtdblock6 on /usr/local/ct type jffs2 (rw,relatime)
    7 f+ [- G/ }5 _2 s3 Y5 n
15. ubi0_0 on /usr/tmp type ubifs (ro,sync,relatime)
    
16. /dev/loop0 on /usr/java type squashfs (ro,relatime)
    
17. ubi1_0 on /usr/plugin type ubifs (rw,sync,relatime)
    / |- A  E* t4 w; w/ H
18. /dev/mtdblock4 on /wlan type jffs2 (rw,relatime)
    
19. cgroup_root on /sys/fs/cgroup type tmpfs (rw,relatime)
    
20. cpu on /sys/fs/cgroup/cpu type cgroup (rw,relatime,cpu)
    , K5 L* S% f' o! E+ N4 `) b9 w
21. cpuacct on /sys/fs/cgroup/cpuacct type cgroup (rw,relatime,cpuacct)
    ) c4 J; C3 N" T+ U" V6 T
22. cpuset on /sys/fs/cgroup/cpuset type cgroup (rw,relatime,cpuset)
    + f# N: t# E. K  h
23. memory on /sys/fs/cgroup/memory type cgroup (rw,relatime,memory)
    
24. /dev/sda on /mnt/usb1_1 type fuseblk (rw,relatime,user_id=0,group_id=0,allow_other,blksize=4096)

复制代码

1. /usr/java/bin # ls /bin
   ! _% n" L3 H+ U& X
2. ash               gpon_omci         netstat           sleep
   
3. bndmange          gpontest          nice              smbd
   - m9 n1 @: m8 e5 W+ Y1 H
4. bobtest           grep              nmbd              smbpasswd
   
5. brctl             gunzip            ntfs-3g           switchtst
   7 p5 x' b; a7 i
6. buservice         gzip              oamtest           sync
   7 a% m9 ?' f, W! F  V
7. busybox           hostname          openl2tpd         tar
   
8. cat               httpd             opticaltst        tc
   
9. chgrp             igmp_proxy        osgid             tcping
   % e, D( Z1 \9 U! X
10. chmod             ip                p910nd            telnetd
    
11. chown             ip6tables         pc                test_minioltlib
    0 y/ G* w" A# E+ s! K1 F/ C
12. cmapidbg          ipsec             phddns            testftp
    + F/ @, c: F4 }- H/ Z' s
13. cp                iptables          ping              touch
    
14. cpio              ipv4protocol      ping6             tr069d
    ' h% u/ `( m3 X% E% I5 e
15. cspd              ipv6protocol      portmap           traceroute1
    ; }3 `% \4 b+ U
16. ctsgw_proxyd      kill              pppd              tso
    
17. date              kshell            pppoe-server      umount
    
18. dd                l2tpconfig        ps                uname
    , u# a* b5 U# c: O9 v2 Q  b. r
19. devmem2           ln                pwd               upgradetest
    
20. df                login             redir             upnpd
    ) v3 v8 h. m0 ^1 \% r. h
21. dipc              logtousb          rm                usbtest
    $ u4 @0 i+ B5 W0 h. E* B3 g
22. dmesg             ls                rmdir             usbtool
    ) M6 n' ?; d5 D( v
23. dnsdomainname     lzop              routed            voip
    
24. dnsmasq           memtest           rpm               voipstat
    / V3 C# Y1 D7 \" ~% P/ p
25. ebtables          minioltdebug      sdtest            vsftpd
    ( `! P4 J& k3 m
26. echo              mkdir             sed               wbctl
    
27. egrep             mknod             sendcmd           wgets
    9 A! j; F. [' E/ o: E
28. epontest          mld_proxy         setmac            wput
    
29. ethdriver_test    mount             sh                wput_ftp
    
30. fgrep             msntp             shellproxy        wput_tftp
    : s2 k7 \/ f. ?& f9 n. c# m% V
31. fpga              multiapd          shellproxy_getty  xpondrvARM32.bin
    # O; T# }9 x2 Z( E6 i7 ^3 F
32. ftest             multicast_test    shellproxyctrl    z3gateway
    : B2 [0 \- o! y8 Z
33. fw_flashing       mv                simulation        zcat
    1 m7 G# Y0 Q# Y  C0 S6 v! W
34. getopt            nand              slctool           zxspdtest
    
35. 
    * `  S3 G0 J  p9 ^- r( \3 \4 ~
36. 
    
37. /usr/java/bin # ls /sbin
    
38. BCLSockServer  hostapd        lsmod          swapon         ubirename
    ! K6 e1 {3 J* u7 Q  i5 j
39. band_steering  hostapd_2.4g   mtd_debug      ubiattach      ubirmvol
    
40. dump_handler   hostapd_5g     pivot_root     ubicrc32       ubirsvol
    + m7 V) Q8 M2 C
41. dutserver      hostapd_cli    poweroff       ubidetach      ubiupdatevol
    
42. dwpal_cli      ifconfig       reboot         ubiformat
    0 \0 [2 b( P  e. j9 p! h  O
43. force_roaming  init           rmmod          ubimkvol
    / R% B% m3 s7 l5 U! ]
44. getty          insmod         route          ubinfo
    % O1 J4 N) c- U) a0 p& i5 v2 c
45. halt           iw             swapoff        ubinize
    

复制代码

1. /userconfig/cfg # cat /proc/cpuinfo
   ( p  e! E2 O! F1 y
2. processor       : 0
   3 O, A* b4 d4 d
3. BogoMIPS        : 50.00
   
4. Features        : fp asimd crc32
   $ L7 g/ N& i2 ^
5. CPU implementer : 0x41
     a( E; M, T3 T" e
6. CPU architecture: 8
   $ ]$ k- ^" s( O+ {* u% l
7. CPU variant     : 0x0
   
8. CPU part        : 0xd03
   # p3 k# o7 q4 K% @2 E) z
9. CPU revision    : 4
   " z5 F  k9 g# s( @
10. 
    ) e3 o* C8 p1 B# c; L& p0 f
11. processor       : 1
    
12. BogoMIPS        : 50.00
    . B+ i( z3 L( S: H/ ^) P
13. Features        : fp asimd crc32
    
14. CPU implementer : 0x41
    . p/ J6 a- c* l, `5 D$ t9 ?6 l5 ~
15. CPU architecture: 8
    
16. CPU variant     : 0x0
    ! V4 M: s  f& G, x
17. CPU part        : 0xd03
    
18. CPU revision    : 4
    
19. 
    
20. processor       : 2
    
21. BogoMIPS        : 50.00
    
22. Features        : fp asimd crc32
    % Z5 d' J1 j: E' f, Y& e  K4 e; q2 i
23. CPU implementer : 0x41
    ( ]4 t4 N( H5 \6 `
24. CPU architecture: 8
    
25. CPU variant     : 0x0
    4 o6 b3 m0 L7 ~1 t9 P2 Z% a7 J
26. CPU part        : 0xd03
    
27. CPU revision    : 4
    + ]8 p% v+ A: Z7 _& D1 k% C
28. 
    0 x* i' G2 |/ D# F0 |
29. processor       : 3
    , L; \- K' S$ Z/ I) N% g
30. BogoMIPS        : 50.00
    
31. Features        : fp asimd crc32
    % v& V) \1 x+ R( Y' N
32. CPU implementer : 0x41
    4 M- S8 y! W. H( y
33. CPU architecture: 8
    
34. CPU variant     : 0x0
    1 C! l0 F0 v0 {( ]( u6 N
35. CPU part        : 0xd03
    1 L# L( x+ w$ e/ t  X$ |
36. CPU revision    : 4

复制代码

/ c& @. y, K0 w5 Q- l- {

茶521

转下之前回复的贴子：
# \* d9 a1 Y6 @0 T. ^说下改地区及永久获取telnet权限步骤吧，其实很简单，总结如下：
" C/ p% q' y6 _4 z1 q% V: HtelnetONU1.6版本（需要官方授权，或者找楼主，联系群内大佬支持，楼主和群内大佬都很热心肠，能看出来都是喜欢折腾的大神...聊天点击楼主建的链接https://stin.to/u5xdx）
' G7 ]0 E. f+ }0 U
+ @, i$ g, k$ c* M" u7 F1 l9 H9 b+ n软件界面直接点击获取用户名和密码，可以得到临时telnet账号密码
, e5 G! z7 ?9 B. ~更改地区步骤
1 W' P8 |+ c. {; W: B2 m" N输入命令：/etc/init.d/regioncode ，获取自己所要切换省份代码，比如陕西315（注意：山西是shanxi2）
输入命令：upgradetest sdefconf 315
; ]3 K" k+ A- d. \. G  i光猫会自动重启

2 [9 v+ |( P; O5 O切换地区后终于可以正常下发配置了，不用自己手动设置那么麻烦了！
* g( }0 Z# L& n2 H5 \这个应该是陕西第一台正常下发配置的中兴FTTR设备F7607P了吧？哈哈。。。

7 G2 y. g3 @+ A3 K* t2 M* P中兴和华为这两套FTTR使用下来，这个确实比华为那套强多了（没有贬低的意思，华为那个也够用，只是中兴这个配置确实很强）
) I- O) D) r" u: z
获取永久telnet权限步骤：
6 t( O$ ]' U) k* b5 J, Rsendcmd 1 DB set TelnetCfg 0 TS_Enable 1                开启telnet
sendcmd 1 DB set TelnetCfg 0 Lan_Enable 1               开启本地telnet
sendcmd 1 DB set TelnetCfg 0 Lan_EnableAfterOlt 1  在OLT注册之后继续开启本地telent
. k# M5 f" ^2 h9 r" A8 `' n/ r* Gsendcmd 1 DB set TelnetCfg 0 TSLan_UPwd XXXX   修改root密码为xxxx
sendcmd 1 DB save                                                   保存
记得重启光猫
+ F: w3 K1 }+ k8 j1 D
) `/ }5 D' w( Z' I! P! C0 U8 S获取telnet后这些已经足够用了，如果想要更多命令，可以参考如下链接
https://www.daimajiaoliu.com/daima/7b7570abf4c6802

qiner_1984

) P4 I8 C( |8 |& j9 g2 V) T# S% M
% Z% l! L  ^1 w+ E- m  P& H* t老板有没有G1620的备份文件
+ N$ ?  N' U. G! P

adsluser11

1. sendcmd 1 DB set TelnetCfg 0 Lan_Enable 1
   9 ]& e5 g! j% V% |' r
2. sendcmd 1 DB set TelnetCfg 0 TS_UName root
   - p, p6 ^2 z4 q( Z' ~) \
3. sendcmd 1 DB set TelnetCfg 0 TSLan_UName root
   8 K9 k5 R. U! o
4. sendcmd 1 DB set TelnetCfg 0 TS_UPwd Zte521
   * Q  l( n3 K6 }% x
5. sendcmd 1 DB set TelnetCfg 0 TSLan_UPwd Zte521
   
6. sendcmd 1 DB set TelnetCfg 0 Max_Con_Num 999999
   3 h/ |3 T3 e) C" D
7. sendcmd 1 DB set TelnetCfg 0 WanWebLinkToTS 1
   6 h# r% v# g1 ^# l
8. sendcmd 1 DB set TelnetCfg 0 ExitTime 99999999
   
9. sendcmd 1 DB set TelnetCfg 0 CloseServerTime 99999999
   , y, A4 {3 @* g
10. sendcmd 1 DB set TelnetCfg 0 InitSecLvl 3
    
11. sendcmd 1 DB save
    & V5 i* N7 u4 U0 e: `' l
12. reboot

复制代码

InitSecLvl猜测是控制root用户名权限的，山东移动定制版默认为3，河南联通为0，河南联通的root账户登陆后运行很多命令都权限不足，改为3后正常

uin

感谢楼主大神分享！支持一波！！！！！

caijay2009

请教一下，debian如何挂载jffs2格式。并且打包导出

adsluser11

caijay2009 发表于 2022-9-11 12:49
请教一下，debian如何挂载jffs2格式。并且打包导出

安装mtdram，生成虚拟的mtdblock设备，然后把提取出来的闪存镜像dd到虚拟的mtdblock，然后挂载出来。其他格式的分区镜像都同理

qwer550055

这个能补全界面吗？

ht514414031

请教一下，怎么telnet进的啊

adsluser11

ht514414031 发表于 2022-9-11 16:59
$ a+ t) }% |4 R* l) P( c) v0 d请教一下，怎么telnet进的啊

- x- ^+ q8 A# R" \' [- p& H工具是别人的，远程帮我开启的，目前不会破解软件

ahsxxl

有大神分析一下，CMCC，成功的引起我的强迫症