烽火HG5143F 电信光猫开telnet整理(烽火新型号应该通用)

anysoft · 发表于 2023-4-20 11:14:39

本帖最后由 anysoft 于 2023-6-25 10:05 编辑

固件不断地更新，厂商和运营商也不断的修补漏洞和后门一些以前的方法已经失效了。

该帖中修正一种方法中key，新增一个开telnet脚本。

闲话不多说直接上东西。

开telnet
默认其实telnet服务是开启的，只是防火墙策略禁止外部访问，而所谓开telnet其实是让防火墙放行23端口。

1. 管理后门
利用 telnetenable.cgi 传入 key 和 telnetenable 参数值开启telnet，这个属于管理后门性质接口。几乎所有版本都有，通用性高，但是key在各个版本之间可能存在差异。具体可以捅菊花后获取固件内程序后文件分析。

老版本：key=FH-nE7jA%5m光猫MAC后6位全大写
新版本：参考附件

附上 telnetenable.cgi 代码

#!/bin/sh
6 V# ?. Q1 G" |) e
echo Content-type: text/html d/ t' z+ g3 c
echo
9 D( x" V! V k& @
, J! g: L( N! X. Y
BR_MAC=`cat /sys/class/net/br0/address | sed 's/://g' | awk '{print toupper($0)}'`
! H u& s7 B% D( T
if [ -n "$QUERY_STRING" ]; then
: o% C8 Z. G$ \0 ~# `6 \
for paramIndex in 1 2
- d; G. V; X1 A# L/ u/ G
do3 }7 f3 f6 _4 n3 @7 u- v; f( A
CGIParam=`echo "$QUERY_STRING&" | cut -d '&' -f ${paramIndex}`8 T9 d% t8 @% x8 q4 N7 W
par=`echo "$CGIParam" | cut -d '=' -f 1` g4 s, p4 Q. H, P2 V3 P1 h
val=`echo "$CGIParam" | cut -d '=' -f 2`8 c* B, H' `) n- F
if [ "$val" != "" ]; then
/ N; a+ t* G2 j+ e
case $par3 V: T! T4 a3 e9 e, F. t ]2 J: @
in
) }# L4 |" `! }+ ?! W' }
"telnetenable")7 J, ]6 l6 ~* j" M0 S0 P+ G$ n! Q
TELNETENABLE=$val3 F% b& |& E _( n) m2 b9 r, m
;;2 `$ m% X. A. v6 z+ X
"key")
# r! n; F4 `* N _5 B
KEY=$val
M/ l- s: u4 E( b
;;0 f3 R3 h2 Y4 p# X3 k! Y2 R. o
esac
% f! v Q6 [& S4 B& h
fi: ?7 V4 J1 d4 ~ G- L5 L
done
2 w V9 O& u$ @" j9 g3 [7 l* [
fi
2 m, Q* X' n0 o) o6 \- @$ B+ }, K
) f8 e* `+ T6 B5 p& d- l( m' ^, p1 i3 @
if [ "$BR_MAC" == "$KEY" ]; then, w7 z! N0 s: X5 f/ D8 q/ Z
if [ "$TELNETENABLE" == "1" ]; then
. T* U9 _" R, Z# s0 E
iptables -D CHAIN_SERVICE -i br0 -p tcp --dport 23 -j ACCEPT >/dev/null 2>&1
+ f) K: H3 w: L5 i( a
iptables -I CHAIN_SERVICE -i br0 -p tcp --dport 23 -j ACCEPT >/dev/null 2>&1
6 [9 V4 u9 Q" l; }+ @5 {
/fhrom/bin/telnetd -p 23 >/dev/null 2>&1
7 y2 H' F9 Y# k: U
elif [ "$TELNETENABLE" == "0" ]; then
! [& z* X: A1 X2 [" D5 G! p1 P
killall telnetd >/dev/null 2>&1' B6 C$ j/ u" n! q& n: d" |+ O$ h
iptables -D CHAIN_SERVICE -i br0 -p tcp --dport 23 -j ACCEPT >/dev/null 2>&1
" T7 i) b0 w4 Y$ }* X3 T* R
fi
) w+ v: S8 f/ }3 c+ m
else
, {3 |+ ]# S% J+ q" C
echo "<html>* N$ k: Q7 e7 O& t
<head><title>404 Not Found</title></head>) r4 n7 P2 h, g
<body>
2 C$ Y% o- [' H7 V4 e U
<center><h1>404 Not Found</h1></center>
$ X3 W: {/ ^# i
</body>
3 c3 `2 Z7 u: r* O
</html>"8 Z: z4 n8 Q5 D, s1 x
exit 0& Y2 q; q/ I- @' Y9 Y# x) e
fi
" Y9 c0 d' c7 P3 x+ j) s5 ~. v
5 f: W- c( G( }2 I
" x% N7 R0 w& h: X" g
echo "<html><head>9 O4 a# r/ v8 G0 Q. Y' J0 y! F
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
3 n$ h6 [6 C9 X% P
</head>
! J0 p. T. s- j
<body>$ a, T- n* S0 f8 n
<script type='text/javascript'>
# [0 h* ~! L- c, ` N
if ( '$TELNETENABLE' == '1' )
2 i3 k b) g9 i$ v1 }1 a, m$ h+ t4 `
{& ~/ D' i- \" Z3 ?$ Y& G
document.writeln('telnet开启');
0 Z* T# @9 ], O& d
}- ?5 y9 L1 `; O5 a9 x
else if ( '$TELNETENABLE' == '0' )
, M( j- ?( ?3 o; t6 n
{
" h- j5 T, ^! E3 m$ s$ D
document.writeln('telnet关闭');
7 q. P* o' |$ k! Y3 j# E' v
} W, ?$ o, J9 T$ c/ Z3 u5 Y8 b6 H
else u% @8 a( T# W. y, D. k G' y/ z
{/ I5 n+ c0 F( @% B6 }/ Z3 l+ X
document.writeln('无操作');
6 s- F5 V6 t. j/ W1 m
}
9 G. y' P( o' z( m
</script>
, {7 G: Y. E: j5 e
</body>+ a* H9 T; L) l7 C: N! Y% g
</html>

复制代码

2. 接口越权

此处利用光猫接口未做权限及操作分离的设计，在登录超级账号后脚本调用接口开启telnet

脚本参考附件

脚本实现了上述1，2 两种方案。
被坑了几千猫粮下载的固件无法刷入，所以写个教程和脚本赚点猫粮{:7_198:}

maozijx · 发表于 2023-7-22 00:06:12

上海电信最近用的是HG-5143F V2，这个方法似乎不行，192.168.1.1/cgi-bin/telnetenable.cgi 会被TCP reset，如何解？

anysoft · 发表于 2023-4-20 11:16:59

脚本采用python编写，安装python3之后直接执行脚本就行
python3 opentelnet.py

gzfslz · 发表于 2023-4-25 11:14:28

不懂，学习学习

245668 · 发表于 2023-4-25 15:52:22

牛皮，学习学习

anysoft · 发表于 2023-4-26 09:07:39

245668 发表于 2023-4-25 15:52
: b$ D6 h3 G% \牛皮，学习学习

总的来说就是利用固件本身的一些未开放接口来打开开关而已。

ziqinyy · 发表于 2023-4-26 11:27:17

有没有改SN码命令，开了telnet 不知道输命令

245668 · 发表于 2023-4-26 16:47:33

anysoft 发表于 2023-4-26 09:073 I: ?. m& P6 p U( T; c' L6 K
总的来说就是利用固件本身的一些未开放接口来打开开关而已。

四川移动版本的烽火光猫可以开启telnet吗？

245668 · 发表于 2023-4-26 18:08:30

anysoft 发表于 2023-4-26 09:072 U& L( E A+ H) e
总的来说就是利用固件本身的一些未开放接口来打开开关而已。

四川移动烽火光猫可以这样开telnet吗？

lizichun88 · 发表于 2023-5-6 09:46:18

我的光猫被限制不能用FIWI，怎么办，我不想多挂一个FIWI设备

bg5bbl · 发表于 2023-5-6 16:41:09

"$BR_MAC" == "$KEY"

账号		自动登录	找回密码
密码			注册

烽火HG5143F 电信光猫开telnet整理(烽火新型号应该通用)

本帖子中包含更多资源

浏览过的版块