1. 项目缘起一次与光猫的“深度对话”最近家里宽带网络总是不太稳定晚上高峰期偶尔会卡顿想进光猫后台看看线路状态、调整一下QoS或者查查连接数结果发现移动装维师傅给的光猫普通用户密码权限太低了很多关键信息都看不到更别提改桥接这种“高级操作”了。我用的这台是移动定制版的吉比特H2-2光猫白色外壳挺常见的型号。相信很多朋友都遇到过类似的情况运营商为了运维方便和网络稳定通常不会把超级管理员俗称“超管”密码直接给到用户。但这就像自己家的房子却只有客厅的钥匙卧室和书房都进不去总感觉有点不得劲。于是我决定花点时间研究一下如何安全、非破坏性地获取这台H2-2光猫的超管权限。这个过程更像是一次对家庭网络核心设备的探索和理解目的不是为了搞破坏而是为了能更自主地管理自己的网络环境比如优化NAT类型、设置端口映射或者仅仅是满足一下技术好奇心。需要强调的是所有操作均在自家设备上进行且不涉及对运营商网络任何形式的攻击或干扰纯粹是本地设备管理权限的探索。2. 前期侦察了解你的“对手”吉比特H2-2动手之前充分了解设备是成功的第一步。吉比特ZTEH2-2是一款GPON/EPON双模自适应光猫也是移动集采的常见型号。它的硬件方案和软件系统都有一些共性特点这是我们寻找入口的关键。2.1 设备基本信息搜集首先把光猫翻过来查看背面的标签。这里通常有默认的无线网络名称SSID、普通用户密码USER级别、设备型号、PON序列号LOID注册时会用到以及默认的管理IP如192.168.1.1。用这个普通用户密码登录Web管理界面虽然权限低但能让我们看到很多基础信息。在“状态”或“设备信息”页面记下软件版本号如V1.3.0_20211230。不同版本的固件其安全策略和后门如果有的话可能不同这个信息至关重要。另一个重要信息是光猫的默认超管账户。经过多方资料查询和验证移动定制版的吉比特光猫其超管账户通常是固定的CMCCAdmin而密码则是一个由设备MAC地址或序列号通过某种算法生成的动态密码或者是由装维人员通过运维平台下发的。这就是我们无法直接猜中的原因。2.2 寻找潜在入口常见思路分析对于这类嵌入式设备获取更高权限的常见思路无外乎以下几种默认密码尝试虽然希望渺茫但可以试试网上流传的一些通用密码组合如CMCCAdmin/aDm8H%MdA注意大小写和符号或者admin/admin。实测对于较新版本的H2-2基本无效。物理接触与调试接口拆机寻找TTL串口焊点通过串口终端获取命令行CLI权限。这是最直接有效的方法但需要一定的动手能力和焊接技巧且有损坏设备的风险。利用Web漏洞或配置泄露通过访问特定的未授权URL路径可能直接获取到包含超管密码的配置文件。这是本次探索的重点因为它无需拆机风险相对较低。抓包分析在光猫与运营商运维平台RMS通信时抓包尝试分析或模拟认证过程。这种方法技术门槛高且涉及对通信协议的逆向比较复杂。综合评估后我决定优先尝试第3种方法即寻找配置信息泄露点。因为根据过往经验许多光猫为了本地运维方便会留下一些“后门”页面用于导出或显示配置。3. 核心突破定位并获取配置文件经过一番搜索和测试我发现吉比特H2-2光猫以及许多同系列产品存在一个经典的配置信息泄露路径。这个路径允许在无需高权限认证的情况下直接下载到光猫的完整配置文件。3.1 关键URL路径的发现在普通用户登录的状态下甚至有时在未登录状态下通过浏览器访问一个特定的URL可以直接触发配置文件下载。这个URL通常形如http://192.168.1.1/backupsettings.conf或者http://192.168.1.1/cgi-bin/backupsettings.cgi我尝试了第一个链接http://192.168.1.1/backupsettings.conf。访问后浏览器没有显示任何页面而是直接弹出了一个文件下载对话框提示下载一个名为backupsettings.conf的文件。这是一个非常积极的信号注意不同固件版本的这个路径可能略有差异。如果上述路径无效可以尝试组合其他常见路径如/dbbackup.cfg、/config.cfg或使用cgi-bin目录下的相关脚本。也可以使用一些简单的目录扫描工具如浏览器插件进行探测但动作要轻避免对设备造成不必要的请求压力。3.2 配置文件解析与密码提取下载得到的backupsettings.conf文件是一个文本文件但内容看起来是乱码。这是因为配置文件通常经过了加密或编码以防止明文泄露。对于吉比特光猫这个文件使用的是DES加密。我们需要对其进行解密。解密需要用到两个关键信息密钥Key和初始化向量IV。幸运的是对于许多运营商定制版光猫这个加解密算法是固定的。经过社区验证常用的密钥是\x01\x02\x03\x04\x05\x06\x07\x088字节且ECB模式可能不需要IV或者IV也是固定的。我选择使用Python来进行解密因为其pycryptodome库处理起来非常方便。以下是具体的操作步骤和代码安装必要的库在电脑上打开命令行安装加解密库。pip install pycryptodome编写解密脚本创建一个Python文件比如叫做decode_cfg.py将以下代码复制进去。代码中包含了详细的注释解释了每一步在做什么。from Crypto.Cipher import DES import base64 def decrypt_backupsettings(encrypted_file_path, output_file_path): 解密吉比特光猫的backupsettings.conf配置文件。 # 1. 读取加密的配置文件内容 with open(encrypted_file_path, rb) as f: ciphertext f.read() # 2. 定义DES密钥。对于很多移动定制光猫这个密钥是固定的。 # 注意这里的密钥是字节串对应十六进制 01 02 03 04 05 06 07 08 key b\x01\x02\x03\x04\x05\x06\x07\x08 # 3. 创建DES解密器使用ECB模式。ECB模式不需要初始化向量(IV)。 # 注意有些固件可能使用CBC模式如果ECB解密失败可以尝试CBC模式并寻找IV。 cipher DES.new(key, DES.MODE_ECB) # 4. 执行解密。加密文件可能不是8字节的整数倍需要处理填充。 # 这里假设使用了PKCS5/PKCS7填充。 plaintext cipher.decrypt(ciphertext) # 5. 移除可能的填充字节。最后一个字节的值表示填充的长度。 padding_len plaintext[-1] # 检查填充是否有效 if padding_len 0 and padding_len DES.block_size: plaintext plaintext[:-padding_len] # 6. 将解密后的数据通常是XML格式写入新文件 with open(output_file_path, wb) as f: f.write(plaintext) print(f解密成功解密后的文件已保存至: {output_file_path}) # 打印前500个字符方便快速查看内容 print(文件开头内容预览) print(plaintext[:500].decode(utf-8, errorsignore)) if __name__ __main__: # 指定你的 backupsettings.conf 文件路径和解密后输出路径 encrypted_file backupsettings.conf # 下载的加密配置文件 decrypted_file backupsettings_decrypted.xml # 解密后的输出文件 decrypt_backupsettings(encrypted_file, decrypted_file)运行脚本确保backupsettings.conf文件和decode_cfg.py脚本在同一个目录下然后在命令行运行python decode_cfg.py如果一切顺利脚本会输出“解密成功”并在同目录下生成一个backupsettings_decrypted.xml文件。用记事本或任何代码编辑器打开这个XML文件。在XML中搜索密码在这个XML文件中我们需要搜索超管密码。常用的关键词是CMCCAdmin用户名和Password密码字段。可以使用编辑器的查找功能CtrlF。搜索CMCCAdmin找到对应的节点。通常密码字段就在用户名附近可能被标记为Password、AdminPassword或value属性的一部分。我找到的段落类似这样ManagementServer UsernameCMCCAdmin/Username Password你解密后的超管密码明文/Password ... /ManagementServer或者可能在User相关的条目里。实操心得有时候解密出来的XML格式可能不太规整或者密码被二次编码如Base64。如果直接搜索找不到明文密码可以留意一下类似Password后面跟着的一长串字符那可能是Base64编码可以找个在线工具解码试试。另外密码字段的节点名称也可能因固件版本而异多尝试几个关键词如admin、super、telecomadmin等。4. 登录验证与权限巩固拿到解密后的密码字符串后下一步就是尝试登录。4.1 登录超管界面打开浏览器访问光猫管理地址http://192.168.1.1。在登录界面用户名输入CMCCAdmin密码输入从XML文件中找到的密码明文。点击登录。如果密码正确你会成功进入一个功能界面完全不同的管理后台。这里的菜单和选项远比普通用户界面丰富你可以看到完整的网络连接信息如PPPoE拨号账号密码请注意保护此信息、光模块收发功率、LAN/WAN配置、防火墙规则、UPnP、DMZ、端口映射等所有高级设置。4.2 重要安全操作修改默认超管密码使用默认或破解的密码始终存在风险尤其是如果这个漏洞广为人知理论上同一型号的其他用户也可能访问你的光猫虽然需要接入你的局域网。因此登录后第一件重要的事就是修改超管密码。在超管界面中寻找“系统工具”、“管理”、“用户管理”或“安全”相关的菜单。找到修改管理员密码的选项。注意区分“普通用户密码”和“超级管理员密码”我们要修改的是后者。设置一个强度高的新密码并妥善保存。切记不要使用弱密码。警告修改超管密码后请务必牢记。如果忘记将无法再通过此方法进入超管界面因为配置文件中的密码也会被更新加密届时可能只能通过恢复出厂设置或联系装维师傅来解决而恢复出厂设置会导致宽带上网数据丢失需要重新注册LOID过程会比较麻烦。4.3 探索高级功能与桥接模式修改获得超管权限后你可以做的事情就多了查看光信号质量在“状态”或“PON信息”里可以查看“接收光功率”和“发送光功率”。接收光功率一般在-27dBm到-8dBm之间为正常值越小负得越多信号越差。更改上网模式为桥接这是很多人的核心需求。在“网络”或“宽带设置”里找到连接名称类似“INTERNET_R_VID_XXX”的条目将其“连接模式”从“路由”改为“桥接”并记下VLAN ID通常为41或101。然后保存。这样光猫就只负责光电转换由你自己的路由器进行PPPoE拨号可以获得更自由的网络控制权和更好的NAT性能。端口转发/DMZ如果你有运行NAS、搭建个人网站或进行P2P下载的需求可以在这里设置。调整无线设置虽然普通界面也能改但超管界面可能提供更多高级选项如信号强度调节、WMM设置等。5. 常见问题、排查技巧与深度思考在实际操作过程中你可能会遇到各种问题。下面是我总结的一些常见情况及解决方法。5.1 问题排查速查表问题现象可能原因排查与解决思路访问backupsettings.conf返回404或错误页面1. URL路径不正确。2. 当前固件版本已修复此漏洞。3. 需要特定条件触发。1. 尝试其他常见路径如/dbbackup.cfg,/config.cfg。2. 尝试在已登录普通用户会话下访问。3. 查看设备固件版本搜索该版本是否有已知漏洞。下载的配置文件解密后是乱码1. 使用的加解密算法或密钥不对。2. 文件本身已损坏或获取不完整。3. 固件使用了不同的加密方式。1. 尝试DES CBC模式并搜索常见的IV如全零。2. 确认下载的文件大小是否合理通常几十到几百KB。3. 在技术论坛搜索特定型号和固件版本的解密方法。在XML文件中找不到CMCCAdmin密码1. 密码字段名称不同。2. 密码被二次编码如Base64。3. 配置文件结构因版本差异大。1. 搜索Password,admin,super,telecom等关键词。2. 将疑似密码的字符串进行Base64解码尝试。3. 仔细浏览XML文件结构寻找用户管理相关的节点。找到的密码登录失败1. 密码提取错误如包含空格或换行。2. 密码已被修改。3. 超管用户名不是CMCCAdmin。1. 核对密码字符串确保完全一致。尝试粘贴到记事本查看隐藏字符。2. 确认光猫是否被其他人如装维修改过密码。3. 尝试其他常见超管用户名如telecomadmin,admin。修改桥接后无法上网1. VLAN ID填写错误。2. 自己的路由器PPPoE拨号设置错误。3. 运营商绑定了光猫的MAC或SN。1. 确认光猫中记录的VLAN ID并在自己路由器WAN口设置中填写一致。2. 检查路由器中输入的宽带账号密码是否正确。3. 尝试克隆光猫的WAN MAC地址到自己路由器或联系运营商解绑。5.2 深度思考关于风险与责任这次探索成功的关键在于利用了一个设备本地服务的“特性”而非漏洞。它反映了运营商在设备易用性和安全性之间的权衡。作为用户在获得更高权限的同时也需承担更多责任稳定性风险错误地更改某些核心设置如SN、LOID、VLAN绑定等可能导致光猫无法注册上网需要专业人员修复。安全风险弱密码或暴露的管理界面可能成为内网攻击的跳板。务必修改强密码并考虑仅在需要时开启管理界面或限制访问IP。合规性请确保你的操作仅用于管理自家网络不尝试破解他人设备或干扰运营商网络。修改桥接模式通常是允许的但某些地区或套餐可能有限制。5.3 进阶探索方向如果你对网络技术有更深兴趣获得超管权限后还可以研究TR-069远程管理在超管界面可以看到ACS自动配置服务器的URL和认证信息。这是运营商远程管理光猫的通道。你可以选择禁用它可能影响远程故障诊断和升级或者只是观察其通信。备份完整配置除了backupsettings.conf超管界面通常提供完整的配置备份/恢复功能。在做出重大改动前备份整个配置是很好的习惯。Telnet/SSH访问有些固件版本可能开启了Telnet服务使用超管密码可能可以登录获得一个命令行环境进行更底层的操作需极其谨慎。整个过程下来我感觉最重要的不是最终获取的那个密码而是这个探索、分析、解决问题的过程。它让你对每天在用的网络设备不再是一个黑盒而是有了更清晰的认知。当你亲手将光猫改为桥接模式并用自己的路由器拨号成功看到公网IP如果运营商分配的话直接出现在自己路由器上时那种对网络掌控感的小小满足是单纯使用网络无法带来的。当然能力越大责任越大随意改动不熟悉的选项可能导致断网所以每一步操作前最好都能先搞清楚它的作用或者做好备份。网络技术的乐趣就在于此。