IT 技术与数码极客博客 — 软路由、NAS 存储与 Linux 运维实录

一台中国移动定制的 TCL T36 Max，海思方案。Web 端能读配置、读密码、打 XSS，却拿不到 shell；拆机焊串口进 U-Boot，啃完 UBI 和 squashfs 掏出 shadow，最后发现答案一直在最显眼的地方——厂商把 telnet 拼成了 telenet，开关要的是布尔

把中国移动定制的 TCL T36 Max（AX3000 千兆双频）拆开逐颗认丝印：海思 Hi5671Y 双核主控、Hi5622 双频无线、256MB 内存与 128MB SPI NAND、四颗独立射频前端，再焊上板上预留的串口读完整启动日志。

把小米 BE3600 2.5G（RD15）拆开，一颗一颗读丝印：主控 IPQ5312、内存 Rayson 256MB DDR3、闪存 GigaDevice 128MB NAND、千兆交换 YT9215S、2.5G PHY QCA8081、5G 射频 QCN6402。

记录一台小米 BE3600 2.5G（RD15）固件 1.0.87 的挖洞过程：本想在锁死 SSH 的官方固件上开个 telnet，telnet 没开成，却挖出 start_binding 的命令注入（无回显，用 sleep 做时序验证）和 sys_log + c_download 串联的任意

记录一次联通 HG6371F 从光猫的完整软件提权：从 Web 超管到一台不做认证的 /fh_tool/api，开 telnet、读出 /var/telsu 凭据，再用 openssl 自证 root 密码由 MAC 派生。顺带把「telnet 无法固化」这个结论也证伪了一遍。

今年年初的时候，联通的师傅上门调了一次网，走的时候留了这么个小盒子，说是“全屋光宽带”的子机，让插在信号不好的房间里用。我当时没太 …

拆开联通送的烽火 HG3142F 光猫，看博通 BCM68552 主控、紫光 PG2L50H FPGA、GD32 电源管理 MCU 与 KIOXIA NAND，以及那块盖住半个板面的散热器。

同一台 NAS、同一个端口只换来源：云服务器握手完整；联通蜂窝手机连，SYN 全部到达我家，回包却再没回来。换成电信卡，同一个 0。客服却说「你家没有公网 IP」。

手上有台腾讯轻量的 4M 小机器，本来是拿来做别的事，闲了大半年。上周坐在外面想进家里路由器看一眼——家里那台 iStoreOS …

装完 AdGuard Home 那阵子我挺得意，但过了一两个月开始有点疑心——手机上的开屏广告一条没少。于是先挂条只记账的规则观察了大半天，结果家里有 4 台设备在绕过，其中一台的 DNS 指着一个早就删掉的旧网段，查了也白查。