H2-3s超级密码最新破解方法

yxleimeng

! g% v- {# g4 {1 d6 c破解思路：
5 V( p- x! n# [- |' c5 k将NAND中的config分区复制到app分区的末尾，然后擦除config分区，这样重新启动系统之后，密码就恢复成了固件默认的aDm8H%MdA。
用此密码登录系统后，将app分区备份到U盘，然后将之前复制到app分区中的config数据拷贝出来，这样就得到了config分区的数据。
然后用默认密码进入系统中将config分区恢复，同时将lastgood.xml配置文件拷出来并解码，最终得到密码。

这种方法适用于当前的绝大多数光猫。对于有编程器的人来说不是啥事，但是对于没有编程器的人来说，这种方法就显得尤为重要。一旦出现这种破解方法，今后厂商可能会更多的将uboot锁起来。
4 g+ g( [9 R  A9 Z' Y% @

) W; d& R4 K* v4 U一、获取config分区的数据：

1. 清除RAM
   6 a, I7 f8 F/ G# Z
2. mw.b 0x84000000 0x00 0xB00000
   
3. 
   
4. 将config分区的数据读入RAM
   8 x/ p3 F0 W# d# }& {3 D4 q: b
5. spi_nand read 0x84000000 0x100000 0xB00000
   
6. 
   
7. 擦除NAND末尾未使用的区域
   
8. spi_nand erase 0xF000000 0xB00000
   6 z2 ^. I3 W+ f* U
9. 
   
10. 将RAM中的config写入NAND末尾的区域
    7 K& B/ b% S6 K. x2 v5 h6 b
11. spi_nand write 0x84000000 0xF000000 0xB00000
    ) h- D( A8 a1 N* {1 @9 A# H# H
12. 
    
13. 将config分区的数据擦除：
    
14. spi_nand erase 0x100000 0xB00000

复制代码

; E* b4 s1 T/ o5 M& m& v6 q
二、分离config的数据并获取密码
  `/ u# D$ m5 B, w

1. 重新启动设备后，就可以用固件中默认的密码aDm8H%MdA登录系统。
   + c9 G' z5 W; g/ ~
2. 准备一个FAT32格式的U盘，将busybox-mips_1.19.0复制到U盘中，然后插到光猫的U口中，然后将app分区（mtd10）备份出来。
   
3. 
   : H+ ~; a$ s& T2 I
4. 备份分区：
   7 u9 F; p5 K+ q( o/ s
5. /var/mnt/usb1_0/busybox-mips_1.19.0 dd if=/dev/mtd10 of=/var/mnt/usb1_0/mtd10.bin&
   # ^4 S- C) |  H& o% p
6. 
   3 ^) s8 U1 M  F' ]# @. h1 i6 v
7. 这条命令没有任何反馈，等待大约5分钟后，将此进程结束。
   3 m* D2 i! k5 `
8. ps列出进程
   
9. kill 进程id结束进程
   
10. 然后输入umount /var/mnt/usb1_0/将U盘弹出。
    
11. 
    6 J8 F& [$ R/ p! W$ d& y
12. 将U盘在电脑上将刚才备份的mtd10.bin文件拷出来，用WinHex定位到0x7500000，长度0xB00000（11MB），将这段数据剪切出来重命名为config.bin，这个就是config分区的数据。
    
13. 在得到了config分区的数据之后拷贝到U盘，进入光猫，把数据还原。
    ! ]- r- V/ r/ @# A0 u' Z6 ~
14. 
    
15. 还原分区：
    
16. umount /var/config
    4 o* U1 m3 J( P: V
17. /var/mnt/usb1_0/busybox-mips_1.19.0 dd if=/var/mnt/usb1_0/config.bin of=/dev/mtdblock3&
    
18. 
    ' ~- Q( }4 i6 W
19. 大约等待2分钟后，结束掉此进程。然后重新挂载config分区。
    # |! [$ G8 A5 t1 o" P, M* B: Z
20. 
    + r4 G! N! R: Q  z
21. 重新挂载分区：
    , v; _) ^0 U7 e& l
22. mount -o rw /dev/mtdblock3 /var/config
    / J5 Y7 t4 v0 D" Q3 j2 j+ y4 x7 U
23. 
    3 K7 ]2 H3 i5 k
24. 分区挂载完毕，将lastgood.xml文件拷贝到U盘中。
    
25. cp /var/config/lastgood.xml /var/mnt/usb1_0/
    * L0 V+ s$ t+ V0 X3 d3 z; r1 O2 Q
26. umount /var/mnt/usb1_0/
    
27. 
    $ c$ Z1 O$ O8 n
28. 然后将U盘插入电脑中，用cfg-cryptor.exe工具将lastgood.xml文件解码。
    8 O' h# l7 M: a: i2 m* r5 G
29. cfg-cryptor.exe -de lastgood.xml
    
30. 
    3 M8 R1 r) \) A4 C5 M
31. 在解码后的配置文件中，搜索SUSER_PASSWORD，即可看到密码。SUSER_NAME是用户名。
    , B% W2 w2 W( d, D2 K' O5 _
32.   <Value Name="SUSER_PASSWORD" Value="123456"/>
    
33.   <Value Name="SUSER_NAME" Value="CMCCAdmin"/>

复制代码

三、今后密码被修改的应对办法
. Q0 J$ L$ k) c" z% A" |7 ^  {) S

1. 在上一步我们已经得到了config分区的数据，那么今后密码被修改，就不用那么麻烦了。
   
2. 准备好tftpd32.464软件，进入光猫uboot中，连上网线（千兆口即可），设置好uboot的IP地址，输入以下命令：
   
3. 
   ) K4 c% R4 H+ E, w' {; H# i! o8 a
4. 清除RAM
   
5. mw.b 0x84000000 0x00 0xB00000
   
6. 
   9 v5 M; A% ~) c2 y
7. 将config.bin下载到光猫内存
   1 j5 X4 l. h4 c
8. tftp 0x84000000 config.bin
   
9. 
   
10. 将config分区的数据擦除：
    - W" e: {8 P7 I/ T+ e1 H
11. spi_nand erase 0x100000 0xB00000
    - B/ g* T  s2 s" i) F  O) K7 t# `3 ]
12. 
    
13. 将RAM中的config写入NAND的config分区
    - \8 ~( `7 s" z& w& w) I' u1 N4 g
14. spi_nand write 0x84000000 0x100000 0xB00000
    / e% w4 `; U6 t. u8 g6 ^4 b
15. 
    
16. 重启光猫后，配置文件就恢复到了之前，用之前的密码即可登录。

复制代码

3 ^/ x$ x, R* W

) h% @3 h8 W3 x5 z( t4 Q' w8 R( U

yxleimeng

开Telnet方法：
0 Q  G) ?8 ?# x破解光猫后，在lastgood.xml中搜索telnet，找到：
  <Value Name="telnet" Value="0"/>
改成  <Value Name="telnet" Value="2"/>即可打开Telnet。

" t- l* P  m# z9 R2 d( n4 \用户名和密码是：
  <Value Name="TELNET_PASSWD" Value="aDm8H%MdA"/>
  <Value Name="TELNET_USER" Value="CMCCAdmin"/>
- a/ Y! F/ F# F9 w8 s! L- T