玩转中兴f6610m，改模，提权，修mac，sn移动定制光猫用在联通宽带下

雷诺linux1

* R" @4 M: @0 v$ J9 A1 N
先讲一个骚操作。移动定制版中兴6610m现在完美运行在联通的光纤下。实测下载网速114。无影响。
这个猫性能可以，WIFI6 .160频宽的。下面开始介绍的我操作。我尽量把教程写的详细一点。以及修改各个配置时候各个配置的详解，还希望各位大佬不要嫌我啰嗦。我只是希望能让小白一目了然。并且本教程是希望能详解代码的含义而让大家可以举一反三。我会把本文能用到的软件全部放在下方。
3 ?7 Q+ s8 @4 |- p  f4 i- Q8 B' \' j首先这个猫的出厂日期就比较新。是2023年的。本身是gpon的，用在移动的线路上。一次偶然的机会。我用手机无线测速。一看，居然能跑到1170。瞬间震惊到了我。因为这个猫当时的使用环境基本就是公用wifi的状态。随便进系统看。在线设备都是二十多台+。而且一直基本没有重启过。还这么稳定。所以我感觉这个猫。性能可以，（哈哈，只看感觉不看硬件）于是我就寻思把它用在一个我其他的，联通的epon线路上。
而正因为如此。才开始了我一系列的操作。包括把手头闲置的创维D542.D740改模。提权。华为的8145xr.hs8145c5.8145v5.8321R。中兴的f450一系列的互相调换的操作。今天发这个帖子教程是觉得中兴的这个猫最新。网上也没有什么参考资料。基本是自己一步步摸索出来的。
3 O/ n) C+ X  ~这个猫开始操作就是需要打开telnet。这个工具大家应该耳熟能详。正是大佬蚂蚁5147开发的一款开telnet软件。一会所有的软件我会挨个放在文章末尾，说到这个软件，我就不得比提起一个小小的插曲。就是某一天晚上。我在各种搜资料的时候，看见一篇帖子。楼主的意思就针对这款软件说。这款软件很坑。是作者用来坑钱的。用不了几次就要收费。收费就要按照咸鱼上的号码去找到作者，缴费，使用。然后我看到居然作者就是蚂蚁5147大佬居然在下面回复了。大概意思就是。胡说八道。这个软件是试用版不假。是限制使用一定的次数。但是。凡是次数用完的。去闲鱼上找到我的。哪个没有再白送你们几十次的使用次数。 当时我就震惊了。我确实被这位大佬的格局所折服。这个软件不比解密软件或者编辑软件。用到的次数很多。开telnet。一般用户也就那么几次，不停的重置需要重新开telnet的，应该也不会超过多少次吧。就比如我这个折腾，最起码开telnet用了十几次不止了，也并没有开始限制我的使用。证明这款软件的设计之初的试用次数已经远远超过的我们普通用户的需求量。而需要商用的。长期使用的，人家收点费，我感觉没毛病。因为商用的（比如各种代改光猫的）本身也不免费啊。废话说的有点多了。下面正是开始本次教程。
+ }/ P) S4 @2 Z0 a& n: A1 C首先这款是以前正常用的移动线路上的，只知道超密的用户名是CMCCAdmin。密码已经从原始的aDm8H%MdA修改了。这一步。超密可以跟装维要。装维会给的。能省事。如果要不来或者不想求人。就只能恢复出厂设置。（至于为什么，可以看这个开telnet软件的使用说明。）使超密变回上面的那两个。先用光猫背面的账号密码登录上去，记录下sn LOID。
5 x1 }! d/ }4 Q- r) M5 }+ y  TPassword和上网用的vlan。iptv的vlan（需要下发的记下TR609的VLAN）如果有固定电话业务的请直接划走。因为本文不讨论固话的鉴权业务。我就是记录下上面的数据之后（因为我的移动线路我打算用中兴的F450 EPON的改GPON去还要使用）开始恢复出厂，这就很简单了。直接找个东西捅恢复孔十几秒即可。这点不用教。
1 e* \* l% K. ~# F' f
恢复之后光猫就恢复了超密。就是上面那两个，当然里面用来各种上网的参数自然也没有了。然后打开软件选择移动版本，长ping，开启telnet。并勾选固化telnet。成功之后会自动进入已经登录进telnet之后的界面现在我们就可以开始操作了。（以后登录telnet的时候可以用电脑自带的命令提示符。输入telnet 192.168.1.1然后输入账号密码和su提权）
+ Q6 g: \/ }0 ]. t" \
/ s* d' Y+ }" U4 p& d5 X" j首先输入
5 h) a5 b( @1 `) f$ f! Ncd /userconfig/cfg 回车，进入用户配置文件夹。这个文件夹基本是中兴全系列的配置文件夹。里面有关键文件。分别是db_user_cfg.xml db_backup_cfg.xml db_default_cfg.xml  这三个软件分别是配置文件。配置文件备份。运营商文件。其中配置文件和备份文件是加密的。运营商文件虽然没有加密。但是对于我们基本无用。这时候用到我们第二个软件tftpd32.exe 这个是tft程序，就是用来上传和下载光猫文件用的。打开这个tft文件后。软件的第二个框框就是显示的你电脑获取到的IP地址，这个一定要记住，很重要。下面一切代码的操作就是基于这个自己修改的。本文例如是192.168.1.2为基础的。如果你的是别的，就修改成你实际的IP地址。打开这个软件后就可以开始输入tftp -p -r db_user_cfg.xml 192.168.1.2（这个代码的意思就是将db_user_cfg.xml下载到你电脑tft软件的文件夹内。）然后就用到第三个软件。这个软件正是鼎鼎大名的欲断魂大佬所创作的中兴系列配置文件解密程序。这个程序我之前使用的时候。所有的教程都是在教怎么解密，居然没看到有说怎么加密的。因为本身这个db_user_cfg.xml只有三十多KB。解密后的文件有四百多KB。相差太大，修改后直接上传肯定不行！这个解密软件下载后可以放在最省事的c盘。（因为命令提示符默认打开C盘）新建一个123文件夹，放入这个软件。然后把刚才下载出来的配置文件也剪切在这个文件夹内。再然后打开命令提示符。输入cd /123 然后再输入 .\ztecfg.exe -d AESCBC -i .\db_user_cfg.xml -o db_user_cfg明文.xml 这个软件就可以运行起来了。然后在你的这个文件夹里就会多出一个db_user_cfg明文.xml的文件。这个时候我们就可以为所欲为的修改了。这个可以用电脑自带的笔记本或者notepad++打开。
5 k7 Y$ |  L$ ]这里我说几个我感觉对普通用户影响最大的修改方面，自己按照需求修改相关方面不必照抄。
搜索UserInfo 这行配置下面是网页登录名的账号密码。比如Tbl name="DevAuthInfo" RowCount="6"> 这一行的意思就是下面一共预设的6个账户。（其中4个是默认启用但是不能正常登录的）
<DM name="ViewName" val="IGD.AU1"/> （第几个用户名配置行）
5 P* L. u( C2 R+ {; k1 d<DM name="Enable" val="1"/>  （是否启用）

<DM name="AppID" val="1"/>       （是否能正常登录）

3 Q) i' w: i2 n2 _8 j: m. a" A1 b<DM name="User" val="CMCCAdmin"/>   （用户名）
<DM name="Pass" val="aDm8H%MdA"/>  （密码）
, |4 }! a9 \- y<DM name="Level" val="1"/>              （等级，就是说这个是超管还是普通账号密码的等级）
6 }. z3 b: c! ^4 V- G$ P依照上面我写的详解开始相对的修改，或者提权。第一个最好不动。让他默认的留着。我们可以从第二个user的下手。只用修改Level 把2改成1 就可以把光猫后面的账号密码改成超级用户。当然，也可以修改成你自己想要的账号密码。然后这时候，因为两个都是超管了。我们没有普通用户了。有需求留下普通用户的。我们继续拉到下面通过更改AppID 把2改成1 启用第三个账号。Level改成2，就是普通用户的账号密码。这个也可以自己设定自己喜好的。没有预设那么多用户的。可以自己加入代码加用户。
搜索MgtServer 这一个是配置运营商远程的文件。有需要的可以修改，比如我就把移动的修改成联通的数据了。可以让运营商能连接上你的光猫，比如我这边联通的远程网址是http://rms.chinaunicom.com:9090/RMS-server/RMS 下面的账号密码也自己照抄本地的。
2 g2 D( {1 T) T3 o9 D& i6 g4 `
( h9 b3 ^/ [5 J1 p# G+ _3 m
搜索FTPServerCfg   这个是修改ftp的。这个弄好之后基本可以弃用telnet了，方便多了。FtpEnable 总开关，后面数值改1是启用。FtpLanEnable后面数值改1是允许lan侧tfp。ServerPort是端口，一般默认21.MaxRate FTP 这个是下载速度。可以改大一点。


" r9 g6 f, v9 m6 A, z7 K搜索FTPUser   这个是ftp相关的配置文件，里面可以修改登录ftp时候的用户名及密码。自己按需设置。Location 这个是登录进去之后默认展示的文件夹，我们把它修改的只剩一个"/"这样以后我们就可以用ftp来读取光猫的内部文件了。这个可以有很多搞头，不知道华为能用不，还没尝试。


6 g2 y; E: q$ e" X  a: z搜索TelnetCfg  这个是telnet相关的配置文件。Lan_Enable TSLan_UName TSLan_UPwd Max_Con_Num ExitTime 这几个数据可以按需修改。修改你自己喜欢的telnet登录时候所用的telnet账号密码   写的有点累了。这一行有啥不懂的可以回帖问我。
& Y' P$ d& U5 r5 L+ }2 E
/ W8 F: e  R" e6 O2 ~2 y' Z4 a搜索PDTCTUSERINFO  这里面的Status Result 是防止DNS劫持的，。就是你没注册，总是跳转注册网址的。改成0和01就不劫持了。（欺骗认证成功和下发成功）
搜索EthRatelimitProduct  这里面下面四个配置文件是修改四个接口速率的。1024000就是千兆的意思。部分光猫硬件达到了。软件层面限制了，可以在这修改。或尝试突破千兆。这个也大有搞头
' N5 n- m7 y( C2 T) H' Z# G0 ?) f搜索WLANCfg    这里面是详细的wifi设置，光猫默认出厂只开启ssd1 和ssid5 就是一个2.4G一个5G的用。但是这里面一共可以开放8个。修改相应的数据启用其他的ssid，即可在网页配置页面看到并设置 1-4是2.4G频段5-8是5G频段，自己按需开启或关闭。
0 C6 k/ {2 c. L# Q搜索UserIF   这里面是网页登录上显示的语言文种和超时几分钟给你T出去。自己按需修改。
/ Q1 `' W1 U0 A0 }暂时只想到这些。其他的想到再写。
. A" ?: f* @' ?+ S" f自己修改完之后。然后保存。再然后还是打开命令提示符。然后cd /123  再然后 .\ztecfg.exe -e AESCBC -i .\db_user_cfg明文.xmll -o db_user_cfg.xml 即可把修改后的明文文件重新加密并覆盖原来的。然后把我们修改并加密过的这个文件放回tft程序所在的文件夹内，然后在telnet界面输入tftp -g -r db_user_cfg.xml 192.168.1.2  这行代码的意思就是上传这个文件到CFG文件夹（要确保你的telnet在cfg这个文件夹内。就是cd /userconfig/cfg）然后输入reboot重启生效。（备份文件会自动覆盖，不像华为需要手动覆盖）
% S6 s9 s( u6 c& j- V9 A下面开始介绍改模。
  j6 [" g8 u; q: }# o& n* G再次登录telnet。如果修改过的。输入自己修改的。没修改的输默认。输入su提权，密码一致然后输入setmac show2（详解setmac是前提，后面空格加“SHOW”是查看，“show2”是查看明文） 查看当前光猫的信息。这个就相当于华为光猫的hw_boardinfo文件一样。我们需要修改的像7615一样的wantype 40960这一行。这一行是指定上行口的，本身是is not set （待设置）
0 {6 J7 ~+ [3 P$ R- J6 Z目前看来，修改1是epon（原生gpon的情况下，可根据原生相应调整尝试） 2或者3是某个lan口（可以当路由器用）目前已经掌握的是5和6是10gepon和xgpon但是光猫原生不是这两个的话，大概率ETC文件夹里是没有相应的驱动的。建议还是不要尝试。而原生10gepon或xgpon的一般驱动都齐全，可在这五个模式下相互修改。修改Epon的代码是输入setmac 1 40960 1 （这里我详解一下这个代码。也可以用来改gpon你们需要修改别的也可以知道怎么用。setmac是前提。后面空格后加1就是修改，加2是查看，加3是删除，加4是清空所有（慎用））
这样就组成了setmac 1（或2或3）后面的40960就是ID代码的意思。你输入setmac show2的时候。各个设置后面都标明的有id代码。你改那个就输哪个，最后的1就是你要修改的数值。就例如这个setmac 1 40960 1 （前提+修改+id代码（wantype）+修改为1）一共是这四部分组成。例如setmac 2 40960 （就是前提+查看+id代码（wantype）） 举例加详解，相信你们已经可以看明白这行代码的作用了，其他的可以相应修改自己喜欢的，比如型号，sn。mac eponmac gponmac等等，改e记得加e的mac。改g加g的mac。这部分详解因为我说的比较详细了，所以改mac，sn等等就不再一一举例赘述了。同理。
5 Y4 E, l. f- M中兴的fttr系列。例如7615啥的，修改pon模式也是在这个wantype下修改数值达到的结果。
还有，多用fw_flashing这个命令。看当前的运行分区。如果mtd=结果是单数，就是我们乱改一气的东西还能跑。如果变成是双数的时候，就要务必小心。证明一个分区已经被搞得乌烟瘴气跑不起来了，哈哈。
1 N5 W6 V9 J8 i9 r其余的，例如备份光猫分区。直接在telnet状态下打开tft软件输入cd /dev  然后tftp -p -r   mtd0 192.168.1.2 或者tftp -p -r mtdblock0 192.168.1.2 即可，也可以把所有的分区全部备份下来。
这个有256M。是整个闪存的备份，下载的时候因为比较慢。隔一会输一次ls防止掉线。如果下载完成之前掉线了，就需要重新下载。
8 K. A$ z1 o4 ~9 x  B关于这款移动定制版光猫用在联通的线路上的时候，因为移动验证的是passwod+loid部分还要验证sn，而联通这边基本只验证loid。
我把这款光猫改成epon之后。手动填入上网需要的参数。填写loid的时候发现居然这个输入框没有了。只剩下了PASSWORD认证。然后我的loid是12位的，psaawprd最高只能输入十位。这时候我们可以在telnet状态下setmac show下强行写入PONLOID 一般就是第二个，id代码是2180的那个。也可以不用telnet大法，在网页状态下用审查元素大法，修改元素里面最高十位的限制，然后输入即可，原理上来说。只要修改相应的SN mac 和tr609及运营商配置文件。都能正常下发了。但是相信在这个论坛里逛得人很少需要自动下发，这里对于这方面不再赘述。（真码累了）

我这边是完成了带移动定制logo的f6610m gpon用在联通的epon线路上。目前通过上面的修改设置，我是开启了三个无线网路信号，一个2.4G，ssid1专门供家里的各种电器联网（比如部分空调不支持5G频段）又一个2.4G，ssid4 绑定在iptv业务下。专供iptv盒子看电视用。（我们这里的iptv不能用正常的上网网络播放，好像是专网）这个信号只有iptv能用。最后一个5G，ssid5就是平常手机电脑上网用的。
写这些字，写写停停想想几个小时了，码字实属不易。折腾的多，暂时只想到这些了，后续想到其他的，会继续增加内容。
* g9 y7 y$ \0 ?" c! V$ v0 k本文严正声明是在前任大佬的各种经验下针对本款光猫的原创帖，后续可能会继续码F450.及创维系列的心得。（华为教程太多且通用）如果有问的，我也会尽力回复。
如果有坛友想转发至隔壁论坛，务必留言并取得同意。本人本身是不太想让我的这些摸索能展现在隔壁论坛的(ENSHAN)虽然也没啥技术含量。因为我能摸索的这一切基本完全来自本论坛。因为隔壁注册需要钱。这点个人对这个做法持保留意见。因为注册的时候是小白。多看，多学的基础门槛都不给。很多帖子本身就是回帖可见。而回帖又要注册，注册又要钱。我摸索这些东西包括折腾华为的时候，很多软件和知识本论坛也是要猫币才能下载的。但是我愿意充值，也充值了下载，多少都行只要在我的承受范围之内，我愿意付费。因为我学到了，我需要尝试，需要这些软件。所以付费无可厚非。隔壁的注册收费制度，也许是想减轻服务器压力。我上面提到的两个软件的作者好像也是来自隔壁。我能用到也是因为坛友转载。所以如果
4 V, {3 ~# L: [& u$ p* S# w坛友想转载至隔壁，请征得我同意。感谢！
目前个人在折腾手里这几种不同厂商的光猫的恢复出厂机制。修改尝试即使捅菊花保证修改过的配置依然不变，和修改切换地区时候的不同地区的配置文件修改，就是即使切换地区，修改依然有效。这两个目前基本已经成功。还在进行稳定性测试


还有，发现某些光猫的部分初始代码是这样写的
8 q' w/ w, [' a8 [PON_MODE_FILE=/proc/capability/ponmode  $pon_mode -eq 8 ]; then
ifconfig omci up
if [ -n "$current_cputype" ] ; then
8 x) e8 i/ x/ B3 l2 t0 N#if [ $current_cputype -eq 1 ] || [ $current_cputype -eq 2 ]; then
#        # gponmac sdk
2 t, s- T. e+ J% a7 N4 I, N  P#        /sbin/insmod /kmodule/gpon_127128.ko
if [ $pon_mode -eq 4 ] ; then
ifconfig oam up
& h. u* {- e! yif [ -n "$current_cputype" ] ; then
* p1 ?+ S% q% d  t% {3 ?- Z5 _
#if [ $current_cputype -eq 1 ] || [ $current_cputype -eq 2 ]; then
#        # eponmac sdk
; r% U! O" ]: X, A+ C2 [6 ~#        /sbin/insmod /kmodule/eponmac_127128.ko
这明显就是，读取/proc/capability/下的ponmode文件。如果值是8则执行gpon。值是4则执行epon。但是/proc是伪文件夹。根本不存在写权限。vi也不行。我又实在找不到这个ponmode实际的本体文件在哪里，还请知道的大佬解惑。
+ |; \* c9 F6 p# L" O% o另外本文有可以帮助到坛友的，还请回复一下给我点动力，。。
0 V$ f2 z0 W: m; {6 L$ X$ _本文是第一次发帖，所以很多地方写的并不完善，还希望坛里的大佬们指正。如果有坛友有哪里不太明白的，或则其他问题，我定知无不言。
! L1 l; y. u8 a1 n  L


1 O( ^( @! O) [7 e& `/ b
: n% n+ @8 N( j! t# c
点猫粮意思一下，毕竟本人基本没剩啥猫粮了。

: T# b9 p! U" A1 K) `不知道怎么的，发出来格式就乱了。再次尝试编辑也没办法，大家将就着看吧。
) ^, h/ i& m+ S5 u
3 C1 k. Y3 h/ g
' [* u: X  x, p6 A
- R" o0 {: r2 ?7 P9 a, w1 I: V
# m% J/ H% h' e. m. a& C
, g! I- o+ |7 O

) Q5 |; l: P: d! R6 u/ }# f. s4 q& I


2 R* w+ H7 j8 e+ u

: w8 \. K$ M1 I5 s
1 C7 P6 N! S( T# c



! s9 z4 y7 P/ p, N6 {
. E+ U& j+ N6 p. w# ]! q9 M  b+ ~$ e
补充内容 (2024-2-7 23:27):
1 h' k. U1 h" N/ z.\ztecfg.exe -e AESCBC -i .\db_user_cfg明文.xmll -o db_user_cfg.xml   多了一个L

fershen1

“”自己修改完之后。然后保存。再然后还是打开命令提示符。然后cd /123  再然后 .\ztecfg.exe -e AESCBC -i .\db_user_cfg明文.xmll -o db_user_cfg.xml 即可把“”多了一个L

qixiaren

启待  作品早日完成

kisslon

期待你在作品

随心feixiang

又一位Linux大神

雷诺linux1

随心feixiang 发表于 2024-1-11 16:29
9 H2 U' _: I% i* A又一位Linux大神

$ d* X( r* T% Z2 ^# @, ?说笑了。真小白一枚。

kisslon

感谢楼主的辛苦码字，正好打算搞F7610M玩一玩，看了文章有了启发。

tzmslxz

感谢楼主的辛苦码字

haiyang9929

感谢分享辛苦了

zhshx72

感谢楼主无私分享，进来好好学习一下，希望对自己有所帮助

Adm1

好东西，看看，。。。