IT 技术与数码极客博客 — 软路由、NAS 存储与 Linux 运维实录

中国移动 H50G 是福建星网锐捷代工的四口千兆 GPON 光猫，主控为中兴微 ZX279127S。文章完整拆解主板，给出 TTL 串口焊接教程，再逐段读它的启动日志，用日志实测值对照「看芯片丝印反推规格」的常见做法，说清内存、闪存、分区、地区与插件。

办了这么多次宽带，坑也踩得差不多了。这篇把数据怎么传、五类 IP、NAT 与 CGNAT、PON 讲清楚，再摆出广东电信/联通/移动公众线的真实差异，最后把办宽带前该问的公网 IP、NAT 类型、上行带宽、会话数逐条列给你，外加营业厅不太会主动说的那些门道。

只用光猫背面标签上的普通账户，不靠运营商超密，拿到 G-140W-MD 的 root 权限，并完整导出 256MB 闪存固件。附漏洞分析、MD5crypt 撞库过程与防御建议。

中国移动 G-140W-MD 是上海诺基亚贝尔代工的 GPON 光猫，1 千兆 + 3 百兆网口、电话口、USB，无线只有 2.4G 单频。本文完整拆解它的主板，逐颗讲清主控 EN7526FU、SPI NAND 存储、MT7592N 无线、Le9641 语音芯片和光组件的来历，并附 TTL 串

一台中国移动定制的 TCL T36 Max，海思方案。Web 端能读配置、读密码、打 XSS，却拿不到 shell；拆机焊串口进 U-Boot，啃完 UBI 和 squashfs 掏出 shadow，最后发现答案一直在最显眼的地方——厂商把 telnet 拼成了 telenet，开关要的是布尔

把中国移动定制的 TCL T36 Max（AX3000 千兆双频）拆开逐颗认丝印：海思 Hi5671Y 双核主控、Hi5622 双频无线、256MB 内存与 128MB SPI NAND、四颗独立射频前端，再焊上板上预留的串口读完整启动日志。

把小米 BE3600 2.5G（RD15）拆开，一颗一颗读丝印：主控 IPQ5312、内存 Rayson 256MB DDR3、闪存 GigaDevice 128MB NAND、千兆交换 YT9215S、2.5G PHY QCA8081、5G 射频 QCN6402。

记录一台小米 BE3600 2.5G（RD15）固件 1.0.87 的挖洞过程：本想在锁死 SSH 的官方固件上开个 telnet，telnet 没开成，却挖出 start_binding 的命令注入（无回显，用 sleep 做时序验证）和 sys_log + c_download 串联的任意

记录一次联通 HG6371F 从光猫的完整软件提权：从 Web 超管到一台不做认证的 /fh_tool/api，开 telnet、读出 /var/telsu 凭据，再用 openssl 自证 root 密码由 MAC 派生。顺带把「telnet 无法固化」这个结论也证伪了一遍。

今年年初的时候，联通的师傅上门调了一次网，走的时候留了这么个小盒子，说是“全屋光宽带”的子机，让插在信号不好的房间里用。我当时没太 …