只要有shell，利用tftp，无需usb接口获取光猫密码

Archeb

最近广东电信、联通、移动均开始下发策略更改光猫超管密码，这让我们改桥接和获取LOID之类的都遇到了很大的麻烦。
笔者手头刚好有一个广东移动 GM219-S 光猫惨遭毒手。但是幸运的是经过搜索我发现这款光猫可以在普通用户权限下启用和登录 telnet。在登录telnet后，一般的步骤是需要插入一个U盘到光猫的USB接口并且把 /userconfig/cfg/db_user_cfg.xml 复制到 U 盘，再用 RouterPassView 软件进行解密。

但非常不巧的是这个光猫的 USB 口无法使用。所以我不得不寻找一些其他办法来把这个加密的配置文件下载到本地。

光猫提供的 telnet shell 是高度裁剪的 busybox 环境。没有 /dev/tcp、nc、ftp等软件。但是提供了tftp客户端，推测是用于批量固件升级。

利用这个tftp客户端，我们就可以在同内网的机器上搭建 tftp 服务器，来接收配置文件。以debian为例，以下是步骤：

1. sudo apt install tftpd-hpa 安装 tftpd 服务器
2. cd /srv/tftp 进入默认 tftp目录
3. touch db_user_cfg.xml 创建即将要上传的文件
4. chmod 777 db_user_cfg.xml 赋予文件写入权限
5（在光猫上执行）. tftp -p -l /userconfig/cfg/db_user_cfg.xml -r db_user_cfg.xml 192.168.1.6 把文件上传到tftpd服务器

这样一来，我们就成功获取到了光猫的配置文件。接下来只需要用 RouterPassView 软件解密文件并且找到密码，即可用超管登录光猫。



值得注意的是，我发现这个光猫密码会在数小时之后被自动更新。目前不确定是tr069定时下发还是光猫自己定时修改然后回报给RMS。总之破解完毕建议还是把tr069删掉。