diff --git a/content/posts/2024-07-30 光光猫.md b/content/posts/2024-07-30 光光猫.md new file mode 100644 index 0000000..932efdd --- /dev/null +++ b/content/posts/2024-07-30 光光猫.md @@ -0,0 +1,46 @@ +--- +title: 示波器破解移动光光猫 +title_image: "./Assets/2024-07-30 光光猫/IMG_20240730_100300.avif" +subtitle: 跑不掉了喵~ +tags: [ctf] +--- + +今天去 syama 家帮忙破解了移动光光猫 🐱 + +因为笔记本太重了，syama 想要在外面用 iPad 远程桌面直连到家里的笔记本上工作，但是移动光猫有防火墙 ipv6 没办法直连，而且用户配置界面并没有办法关掉防火墙，所以想要找到 CMCCAdmin 超管密码。 + +通常来说超管密码直接找宽带师傅要或者找移动内鬼查就能查到，但是这台是公寓提供的集客宽带所以没办法联系师傅，内鬼也查不到密码。 + +去网络论坛上看了其他人的破解方法，一月份的时候似乎还可以通过 192.168.1.1/hidden_version_switch.html 之类的网页后门直接开启 telnet，但是试了很多全都被堵住了。看来软件是没办法了，拆机看看 + +![[./Assets/2024-07-30 光光猫/IMG_20240728_190519.avif|拆机后的完整布局]] + +光光猫型号是 SK-D747，拆机之后看到了这个 PCB 的完整布局，中间是铠侠的 128MB E2PROM，旁边有八个测试孔，左侧是光纤接入口（系统里是一个 PCIe 设备...??）右边应该是 CPU 和 DDR3 DRAM，上边是两个 LDO 分别转 3.3V 和 5V，右上方还有一些空的焊盘应该是高配版多出来的网口。 + +![[./Assets/2024-07-30 光光猫/IMG_20240730_100300.avif|发现了 E2PROM 芯片旁边的八个测试引脚]] + +在 E2PROM 旁边的这八个测试孔，四个焊了排针，四个没焊。通常光猫上都会留用来测试的 UART 串口，但是串口只能够用到 TX RX GND 三条线，TX 用来向对方发送，RX 用来接收，GND 作为判断传输电压的参照物。排针上显然并没有文档，没有标记每个引脚代表什么，还可能是 RS232，I2C，或者 SPI 也说不定，那要怎样判断每个测试孔代表着什么呢？ + +先断电用电表测试线路接通的模式戳一戳好了，因为一条线路的所有焊点都连在一起，所以只要确认了一个点就可以找到所有了。首先 GND（地线）是最容易找到的，因为元件的外壳通常就会接到 GND。把电表的一端点到 USB 口的金属外壳上，另一端轮流点一下每个测试孔就能看出从上面数的口 0、4、7 都是接地。 + +接下来还剩五个不确定的孔，通电测一下电压好了。孔 1 是 5V，孔 5 是 3V，6 是 0.074V。只看电压其实不是很有头绪呢，把照片发到嵌入式群里，群友猜 5 6 分别是 TX 和 RX，但是插上串口工具发现并没有输出，反过来也没有。 + +![[./Assets/2024-07-30 光光猫/IMG_20240730_095534.avif|电表针好长感觉不注意就会把什么戳短路]] + +突然想到，既然之前买了示波器就试试用示波器看看这些孔的波形好了！虽然之前没有用过但是也不会太难理解吧？打开包装有一个主机和两根测笔，像电表一样，那一定是在测量这两根针之间的波形吧？一根戳上 GND 另一根戳上测试点，点一下自动... 不对啊，看上去无论点哪里都是一个正弦 ~ 波？这看起来也不像是时钟啊？ + +...然后把照片发给群友问问，发现我完全理解错了（悲）测量到的波形也只是无线电噪音 + +实际上示波器的每根测笔是单独的波形，有两条线，侧边的夹子是电压的参照，而测针是相对的信号。读结果的时候也理解错了，虽然看上去是很大幅度的正弦波，但是右边显示着只有 5mV/格... 也就是说看到的这个波形上下差距一共不到 10mV，对于任何信号传输都太小了。居然这么小的电压区别也能测量出来哇 + +学会使用示波器之后把示波器夹子接地，针点到每个引脚，调到 1V/格 的显示比例，发现脚 2 是稳定 3V，脚 3 有零到 3V 的 TTL 高低电平切换，由此推断 2 3 才是 TX 和 RX。这次接上 UART 终于看到日志输出了！ + +![[./Assets/2024-07-30 光光猫/2024-08-01 12-45.png|用示波器看到了上下切换的数据电平，高低电压分别代表 1 和 0]] + +接上之后就交给 menci 了。重启路由器，终端打了很多日志，似乎是 uboot 在启动被运营商魔改的 OpenWRT。等开机结束之后导出日志，在里面搜索 "pwd" 找到了 root 密码 🌚 真安全。登录进 root 之后去读文件 /userconfig/cfg/db_user_cfg.xml 就拿到了超管密码，然后我累累睡睡，menci 念一串魔法配好了桥接和公网 v6 直通，好厉害 + +![[./Assets/2024-07-30 光光猫/IMG_20240730_144448.avif|躺在床上听着魔法少女 menci 调网咒语 ASMR 睡着了]] + +配网相关的事情可以右转去读读 [menci 的博客](https://blog.men.ci/)，虽然我也想学学配 ipv6 但是这两天通宵爆肝实在没有力气啦，等加拿大 Bell 有了 ipv6 再学学好了。 + +总之这次学会了用示波器很开心！~~会用之后就看到什么都想用示波器点一点了~~ \ No newline at end of file diff --git a/content/posts/Assets/2024-07-30 光光猫/2024-08-01 12-45.png b/content/posts/Assets/2024-07-30 光光猫/2024-08-01 12-45.png new file mode 100644 index 0000000..ee19581 Binary files /dev/null and b/content/posts/Assets/2024-07-30 光光猫/2024-08-01 12-45.png differ diff --git a/content/posts/Assets/2024-07-30 光光猫/IMG_20240728_190519.avif b/content/posts/Assets/2024-07-30 光光猫/IMG_20240728_190519.avif new file mode 100644 index 0000000..989e3b9 Binary files /dev/null and b/content/posts/Assets/2024-07-30 光光猫/IMG_20240728_190519.avif differ diff --git a/content/posts/Assets/2024-07-30 光光猫/IMG_20240730_095534.avif b/content/posts/Assets/2024-07-30 光光猫/IMG_20240730_095534.avif new file mode 100644 index 0000000..e3f6d45 Binary files /dev/null and b/content/posts/Assets/2024-07-30 光光猫/IMG_20240730_095534.avif differ diff --git a/content/posts/Assets/2024-07-30 光光猫/IMG_20240730_100300.avif b/content/posts/Assets/2024-07-30 光光猫/IMG_20240730_100300.avif new file mode 100644 index 0000000..33e4886 Binary files /dev/null and b/content/posts/Assets/2024-07-30 光光猫/IMG_20240730_100300.avif differ diff --git a/content/posts/Assets/2024-07-30 光光猫/IMG_20240730_144448.avif b/content/posts/Assets/2024-07-30 光光猫/IMG_20240730_144448.avif new file mode 100644 index 0000000..ac9801b Binary files /dev/null and b/content/posts/Assets/2024-07-30 光光猫/IMG_20240730_144448.avif differ