H2-3s超级密码最新破解方法

yxleimeng

( |- `, V. g+ @- }; u. i破解思路：
' i/ C. ~1 A/ M9 j5 Z- g将NAND中的config分区复制到app分区的末尾，然后擦除config分区，这样重新启动系统之后，密码就恢复成了固件默认的aDm8H%MdA。
7 d# z. I* A  J. ~. a8 I1 L5 C用此密码登录系统后，将app分区备份到U盘，然后将之前复制到app分区中的config数据拷贝出来，这样就得到了config分区的数据。
然后用默认密码进入系统中将config分区恢复，同时将lastgood.xml配置文件拷出来并解码，最终得到密码。

这种方法适用于当前的绝大多数光猫。对于有编程器的人来说不是啥事，但是对于没有编程器的人来说，这种方法就显得尤为重要。一旦出现这种破解方法，今后厂商可能会更多的将uboot锁起来。


一、获取config分区的数据：
6 T+ x, r; v  b! e$ j

1. 清除RAM
   . ^: |- [0 J% e0 F6 \2 a' ]
2. mw.b 0x84000000 0x00 0xB00000
   ! Y+ z3 O/ a. u. K+ o5 V
3. 
   
4. 将config分区的数据读入RAM
   
5. spi_nand read 0x84000000 0x100000 0xB00000
   
6. 
   / n  R, D/ d# }
7. 擦除NAND末尾未使用的区域
   0 `2 X3 r3 ?& |+ ]
8. spi_nand erase 0xF000000 0xB00000
   : t( c0 ^- p2 x' k6 c) f
9. 
   
10. 将RAM中的config写入NAND末尾的区域
    
11. spi_nand write 0x84000000 0xF000000 0xB00000
    
12. 
    9 m0 m' }( j/ K( F- a0 Q* F
13. 将config分区的数据擦除：
    
14. spi_nand erase 0x100000 0xB00000

复制代码

, C9 L. g5 J) a8 I. V% X* ~二、分离config的数据并获取密码
2 e$ r# S- @  Q( T( t

1. 重新启动设备后，就可以用固件中默认的密码aDm8H%MdA登录系统。
   8 u. t* O8 Q; W4 @1 ~/ R; z- c  h
2. 准备一个FAT32格式的U盘，将busybox-mips_1.19.0复制到U盘中，然后插到光猫的U口中，然后将app分区（mtd10）备份出来。
   
3. 
   
4. 备份分区：
   
5. /var/mnt/usb1_0/busybox-mips_1.19.0 dd if=/dev/mtd10 of=/var/mnt/usb1_0/mtd10.bin&
   7 L0 E+ e: [" j( l
6. 
   . t/ l- f, T! |+ y& u
7. 这条命令没有任何反馈，等待大约5分钟后，将此进程结束。
   
8. ps列出进程
   9 i" _$ v1 S/ Y
9. kill 进程id结束进程
   . J* e$ Q7 V6 E/ C
10. 然后输入umount /var/mnt/usb1_0/将U盘弹出。
    3 z' Z, C0 d) c7 C7 f' ^
11. 
    
12. 将U盘在电脑上将刚才备份的mtd10.bin文件拷出来，用WinHex定位到0x7500000，长度0xB00000（11MB），将这段数据剪切出来重命名为config.bin，这个就是config分区的数据。
    ) K0 z& N7 p. m. z
13. 在得到了config分区的数据之后拷贝到U盘，进入光猫，把数据还原。
      Z+ h$ }$ C6 h5 n
14. 
    , }* u) _* }% k% y+ f9 V5 b
15. 还原分区：
    / ]$ K$ a: g! G! ]' j. l
16. umount /var/config
    
17. /var/mnt/usb1_0/busybox-mips_1.19.0 dd if=/var/mnt/usb1_0/config.bin of=/dev/mtdblock3&
    
18. 
    
19. 大约等待2分钟后，结束掉此进程。然后重新挂载config分区。
    
20. 
    ' F6 A4 Q3 e& E8 a* q
21. 重新挂载分区：
    
22. mount -o rw /dev/mtdblock3 /var/config
    
23. 
    
24. 分区挂载完毕，将lastgood.xml文件拷贝到U盘中。
    
25. cp /var/config/lastgood.xml /var/mnt/usb1_0/
    2 z! F. X" j9 Q/ i! H# X# R
26. umount /var/mnt/usb1_0/
      c$ G, W' ]. z+ ?+ v
27. 
    
28. 然后将U盘插入电脑中，用cfg-cryptor.exe工具将lastgood.xml文件解码。
    
29. cfg-cryptor.exe -de lastgood.xml
    2 _9 u3 x8 W; r/ G
30. 
    
31. 在解码后的配置文件中，搜索SUSER_PASSWORD，即可看到密码。SUSER_NAME是用户名。
    $ a; W" @5 o# E6 B  x: E
32.   <Value Name="SUSER_PASSWORD" Value="123456"/>
    
33.   <Value Name="SUSER_NAME" Value="CMCCAdmin"/>

复制代码

三、今后密码被修改的应对办法

1. 在上一步我们已经得到了config分区的数据，那么今后密码被修改，就不用那么麻烦了。
   
2. 准备好tftpd32.464软件，进入光猫uboot中，连上网线（千兆口即可），设置好uboot的IP地址，输入以下命令：
   
3. 
   . Z, C1 z5 |% n. r; I+ z
4. 清除RAM
   % }) K7 o' K3 a1 k9 x
5. mw.b 0x84000000 0x00 0xB00000
   
6. 
   
7. 将config.bin下载到光猫内存
   1 R' z$ p. v9 v& J
8. tftp 0x84000000 config.bin
   
9. 
   , p6 v* w3 g2 q& ]. d
10. 将config分区的数据擦除：
    * r6 J' @; r0 F0 Y
11. spi_nand erase 0x100000 0xB00000
    & i7 @! `( C. e9 X3 t8 N
12. 
    
13. 将RAM中的config写入NAND的config分区
    - W7 h. e8 V- c; t3 M
14. spi_nand write 0x84000000 0x100000 0xB00000
    5 h: Y$ A: D+ n
15. 
    
16. 重启光猫后，配置文件就恢复到了之前，用之前的密码即可登录。

复制代码

1 W* t, Y* [( o5 y- m& Y3 H

yxleimeng

开Telnet方法：
2 v8 V; G; v6 _/ Y破解光猫后，在lastgood.xml中搜索telnet，找到：
  <Value Name="telnet" Value="0"/>
8 n1 E9 l3 {0 b' ^8 ~; c! ]; W改成  <Value Name="telnet" Value="2"/>即可打开Telnet。
4 b# z! r( ^0 m  F' Z" }
用户名和密码是：
" I5 Y5 ^! H" D% R& T  <Value Name="TELNET_PASSWD" Value="aDm8H%MdA"/>
  <Value Name="TELNET_USER" Value="CMCCAdmin"/>
1 o* B! i: c; I* Y  @6 b. U9 l