HN8346X6-C（联通九洲版）R022 求 R22 全 shell 补全包

easychao

- 型号：华为 HN8346X6-C，联通九洲定制（WO-37），硬件版本 2AD0.A
- 固件：V500R022C00SPC310B017
- 目的：改移动，需改 VLAN/桥接，缺 CUAdmin 随机超密，想借补全 shell 拉 hw_ctree.xml + kmc_store_A 解密

已具备的条件：
- telnet 已开：root/adminHW → su（adminHW）→ SU_WAP 正常
- 组播刷机通道（ONT维修使能工具）可用，load pack by https 通道也可用，验包反馈秒级
- 原厂 R22 使能包（R22.bin，1808512 字节）刷入成功，流程没问题

已试过、全部失败的：
1. 改包路线：本固件包头带华为证书链签名，签名覆盖整包，改任何 1 字节（含只改版本号）都返回 0xf7204039（签名校验失败），改包已死
2. 流传的 jzshell（R019）/ r20shell 包：返回 0xf7204045，其哈希表 13 项里带 kernel/rootfs/uboot/flash_config/L2boot/rootfsbase 六个分区哈希，版本锁死 R019/R020，装不上 R022
3. set hardinfo value 写 feature 可持久化，但解不开 shell 白名单（applet 只剩 ls/ifconfig/iwconfig）
4. Web 侧：user 账号能打开宽带配置页但后端 CGI 拒写 WAN（0xf720003a），改 CUAdmin 密码必须其旧密码（0xf7200040）

请求：
手头有没有适配 V5R022C00SPC310 的、原厂签名的全 shell 补全包（bin）？或者：
- 能改哈希表分区锁的 R22 小包做法/工具
- 其他针对 R022 SPC310 开全 shell 或读超密的思路

附图：设备信息页、telnet 会话、刷包报错截图。
万分感谢。