H2-3s超级密码最新破解方法

yxleimeng

破解思路：
* h: Z+ |) L( X% z7 b0 m将NAND中的config分区复制到app分区的末尾，然后擦除config分区，这样重新启动系统之后，密码就恢复成了固件默认的aDm8H%MdA。
  l' `6 k  o9 g/ k. n用此密码登录系统后，将app分区备份到U盘，然后将之前复制到app分区中的config数据拷贝出来，这样就得到了config分区的数据。
7 m" w) s' e& [' T然后用默认密码进入系统中将config分区恢复，同时将lastgood.xml配置文件拷出来并解码，最终得到密码。

这种方法适用于当前的绝大多数光猫。对于有编程器的人来说不是啥事，但是对于没有编程器的人来说，这种方法就显得尤为重要。一旦出现这种破解方法，今后厂商可能会更多的将uboot锁起来。


一、获取config分区的数据：
* [$ [2 d1 Z& [1 q4 T; R$ o

1. 清除RAM
   
2. mw.b 0x84000000 0x00 0xB00000
   
3. 
   
4. 将config分区的数据读入RAM
   - {& a; X- p/ L/ l! ]6 O2 x& P3 M
5. spi_nand read 0x84000000 0x100000 0xB00000
   & y* T) C' x5 k* D* q. }8 a& Z% {
6. 
   
7. 擦除NAND末尾未使用的区域
   
8. spi_nand erase 0xF000000 0xB00000
   7 E- \: X# X7 C" v
9. 
   
10. 将RAM中的config写入NAND末尾的区域
    
11. spi_nand write 0x84000000 0xF000000 0xB00000
    
12. 
    
13. 将config分区的数据擦除：
    3 {1 [$ L. R& p; S5 C: L
14. spi_nand erase 0x100000 0xB00000

复制代码

二、分离config的数据并获取密码

1. 重新启动设备后，就可以用固件中默认的密码aDm8H%MdA登录系统。
   
2. 准备一个FAT32格式的U盘，将busybox-mips_1.19.0复制到U盘中，然后插到光猫的U口中，然后将app分区（mtd10）备份出来。
   + o( O5 E. c" H/ G, s
3. 
   ( V# v) o& h* {, Q- a: Y0 A
4. 备份分区：
   ' R# i/ H3 Z7 S, e1 p
5. /var/mnt/usb1_0/busybox-mips_1.19.0 dd if=/dev/mtd10 of=/var/mnt/usb1_0/mtd10.bin&
   
6. 
   ; Y3 u* R. t' H: z, }7 s7 y
7. 这条命令没有任何反馈，等待大约5分钟后，将此进程结束。
   
8. ps列出进程
   
9. kill 进程id结束进程
   
10. 然后输入umount /var/mnt/usb1_0/将U盘弹出。
    
11. 
    
12. 将U盘在电脑上将刚才备份的mtd10.bin文件拷出来，用WinHex定位到0x7500000，长度0xB00000（11MB），将这段数据剪切出来重命名为config.bin，这个就是config分区的数据。
    . s! w, L+ @, n' `" F
13. 在得到了config分区的数据之后拷贝到U盘，进入光猫，把数据还原。
    4 q7 V" Z: R! j- R6 q5 i' A, y
14. 
    % }6 K# S! s  h4 y; U# S4 x; L
15. 还原分区：
    * B2 @+ _- p( x% t
16. umount /var/config
    
17. /var/mnt/usb1_0/busybox-mips_1.19.0 dd if=/var/mnt/usb1_0/config.bin of=/dev/mtdblock3&
    7 `3 F% [3 Y1 `# \
18. 
    
19. 大约等待2分钟后，结束掉此进程。然后重新挂载config分区。
    
20. 
    5 v7 u' b( Q0 @$ e0 o1 b, J" U
21. 重新挂载分区：
    + Q: k" v  @, k1 |
22. mount -o rw /dev/mtdblock3 /var/config
    " Z* V, ^: N: w
23. 
    * G; l- k  A; {+ a1 |/ _* Y
24. 分区挂载完毕，将lastgood.xml文件拷贝到U盘中。
    
25. cp /var/config/lastgood.xml /var/mnt/usb1_0/
    5 h: `: v5 l7 S: V8 T' i0 V
26. umount /var/mnt/usb1_0/
    
27. 
    ' O2 t" g4 ?1 s; j' \
28. 然后将U盘插入电脑中，用cfg-cryptor.exe工具将lastgood.xml文件解码。
    . a% g9 _3 G) h: K. U. W
29. cfg-cryptor.exe -de lastgood.xml
    
30. 
    ( z' w' Y+ o4 M6 i. T# W
31. 在解码后的配置文件中，搜索SUSER_PASSWORD，即可看到密码。SUSER_NAME是用户名。
    . ?5 ~( U) _2 L+ [- ]9 a
32.   <Value Name="SUSER_PASSWORD" Value="123456"/>
    0 s) ^6 v' D) C: j$ ]/ s+ t
33.   <Value Name="SUSER_NAME" Value="CMCCAdmin"/>

复制代码

& V; m5 ?4 H8 i* p. b三、今后密码被修改的应对办法
! \* u* F5 p0 S% y9 v

1. 在上一步我们已经得到了config分区的数据，那么今后密码被修改，就不用那么麻烦了。
   " n0 b4 @( U4 ?: }3 Q9 X% p  @
2. 准备好tftpd32.464软件，进入光猫uboot中，连上网线（千兆口即可），设置好uboot的IP地址，输入以下命令：
   . C2 a. M- C" ~0 Z7 I! V
3. 
   % f6 Z' B( g  z/ A& U: x/ a
4. 清除RAM
   
5. mw.b 0x84000000 0x00 0xB00000
   ) P) H, t# H& B3 k. g$ {
6. 
   
7. 将config.bin下载到光猫内存
   / q0 a3 i" r6 x" I
8. tftp 0x84000000 config.bin
   ; j* S& W' F9 t2 t! S* @+ x
9. 
   
10. 将config分区的数据擦除：
    
11. spi_nand erase 0x100000 0xB00000
    
12. 
    % i  B0 c) ^% d7 x3 ~
13. 将RAM中的config写入NAND的config分区
    
14. spi_nand write 0x84000000 0x100000 0xB00000
    8 {$ ?3 c6 [: A* T1 l
15. 
    
16. 重启光猫后，配置文件就恢复到了之前，用之前的密码即可登录。

复制代码

$ y! c4 ?6 p$ J: o2 Y

9 C2 s2 _& k! s# W! Z

yxleimeng

开Telnet方法：
破解光猫后，在lastgood.xml中搜索telnet，找到：
  <Value Name="telnet" Value="0"/>
改成  <Value Name="telnet" Value="2"/>即可打开Telnet。
+ b1 j5 r( F! n- U& c
. }+ u- m3 \# X6 A% f. z1 a用户名和密码是：
  <Value Name="TELNET_PASSWD" Value="aDm8H%MdA"/>
) |" N" \$ @* v+ ]  <Value Name="TELNET_USER" Value="CMCCAdmin"/>