Взлом вебморды D-Link DIR-300 NRU-B6

Question

[Алексей Свиридкин]

Есть маршрутизатор D-Link DIR-300 NRU-B6. У него запаролена вебморда.
Надо получить доступ к настройкам, но при этом не сбросить настройки, которые уже есть.
Инструкции для младших ревизий не подошли.
Делается это исключительно в мирных целях и роутер мой, а не соседский.

Answer 1

[FilimoniC]

Есть вариант 1 (малоправдоподобный) собрать свою прошивку для DIR-300 с урезаным функционалом и через восстановление (как при убитой прошивке) прошить. NVRAM стереться не должна, а в прошивке заказать показ данных NVRAM. Но это сложно.

Есть вариант 2, более правдоподобный, но надо уточнять. У роутера есть «загрузчик», который при старте на 1 секунду открывет RedBoot (типа «загрузчик» c TELNET и урезаной консолью) на WAN-порту. С его помощью вы возможно (читать про редбут долго и глубоко) сможете прочитать содержимое nvram (часть флешки, где валяются настройки). Сам не занимался, в каком виде — не знаю. Теоретически, там только текстовые данные, так что возможно получится распарсить, для этого могут понадобится исходники прошивки (работа с nvram)

Comments

[FilimoniC]

Повторюсь, я не уверен, возможно ли это технически.

[Алексей Свиридкин]

Не совсем понятен ход мысли в первом варианте. Как я не имея пароля от telnet/вебморды и не вскрывая смогу прошить что-то?
Про второй вариант совершенно не ясно. Можно ссылку на статью про подобное?

[FilimoniC]

ecos.sourceware.org/docs-3.0/pdf/ecos-3.0-redboot-guide-a4.pdf

[FilimoniC]

Судя по всему, вам надо
1) Получить доступ к RedBoot (Читайте, как поставить на DIR-300 DD-WRT, там есть подробно про доступ)
2) Определить адреса памяти NVRAM (вот тут не знаю, где)
3) Прочитать NAND командой fis read\fis load в память
4) Посмотреть память командой dump

Из подводных камней:
1. dump «выдает» хекс, а не текст.
2. Адрес надо будет уточнять
3. nvram может быть сжата и вам прийдется танцевать с этим как с gzip\zip данными

[FilimoniC]

lexfrei, ответил ниже

Answer 2

[FilimoniC]

lexfrei: Не имея пароля, можно сменить прошу через рекавери (тот же редбут). Единственное, вам нельзя затирать часть флеш с nvram

Comments

[FilimoniC]

lexfrei: RedBoot (он же «Режим восстановления») не требует логина и пароля. При включении, примерно через 5 секунд после включения, на 1 секунду роутер себе берет IP 192.168.20.81 и открывает TELNET на порту 9000. Если в этот момент к нему прицепиться TELNET и послать ^C, то он остановит дальнейшую загрузку и останется в режиме «Crash Recovery», а точнее — в консоли RedBoot.

Таким образом можно читать и писать память и флеш. Посмотрите статью Установка DD-WRT на DIR-300, там подробно описан вход в RedBoot со скриптами, танцами, картами и девочками.

После попадания в RedBoot, у вас появится возможность читать NAND в память и память выводить на экран в HEX. (Гайд по RedBoot). Далее вам необходимо найти в дампе NAND то, что вы уже знаете (например, SSID или логин PPPoE) и искать рядом. Проблемой может стать то, что NVRAM может быть пожат, хотя, маловероятно.

Повторюсь, это теория.

[FilimoniC]

Да, RedBoot подымается он его WAN-интерфейсе, а не на LAN!

[FilimoniC]

Судя по всему, RESET держать не обязательно — можно просто переткнуть питание
Также вам могут помочь спецификации wiki.openwrt.org/toh/d-link/dir-300
Если ей верить, то nvram (boardconfig) лежит по адресам 0xbffe0000-0xbfff0000, хотя это догадки лишь.

Соответсвенно, команды (Предполагаю, судя по доке)
# fis list Name FLASH addr Mem addr Length Entry point ...... boardconfig 0xbffe0000 0xbffe0000 0xbfff0000 0x00000000 # fis load -b %{FREEMEMLO} boardconfig boardconfig loaded into 0x12341234-0xXXXXXXXX #dump -b 0x12341234 -l 65535

Answer 3

[wscms]

Что пробовали? Гугл выдает кучу информации по запросу «взлом пароля D-Link DIR-300»

Раз и Два, например

Comments

[Алексей Свиридкин]

Пробовал оба способа. Первые 10 страниц гугла я уже проверил.