【江苏天翼校园】crazybox固件逆向

Tidessec

前端时间江苏天翼校园更新了一下，路由器不能用了，然后我就去更新了一下固件，发现路由器需要授权码。
授权码查询网址:http://crazybox.f3322.org/
查询授权码说已经过保，请联系商家，然而我们学校的商家练习不上。去crazybox的贴吧转了一圈，发现基本都是卖路由器的，一个授权码卖80.贼贵。
由于刚注册，不能上传太大的固件，所以给一个网盘连接：https://pan.baidu.com/s/1pJiKWrh#list/path=%2F
使用binwalk可以解压固件，但是里面的东西看不懂，本人有一年的Linux基础，并不是纯小白。
所以，有没有大神提供一个思路如何破解crazybox的授权码。

Tidessec

#file qca9533.bin
qca9533.bin: firmware 841 v9 OpenWrt r49389, 8126464 bytes or less, at 0x200 1071576 bytes , at 0x100000 3196604 bytes

#binwalk qca9533.bin

DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
512           0x200           LZMA compressed data, properties: 0x6D, dictionary size: 8388608 bytes, uncompressed size: 3328652 bytes

Tidessec

使用binwalk把文件分离之后查看文件
#ls
200  200.7z
查看200这个文件信息
#binwalk 200

DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
2749064       0x29F288        xz compressed data
2766316       0x2A35EC        Unix path: /lib/firmware/updates/3.18.45
2785327       0x2A802F        Unix path: /net/ethernet/atheros/ag71xx/ag71xx_main.c
2823157       0x2B13F5        Certificate in DER format (x509 v3), header length: 4, sequence length: 128
2823161       0x2B13F9        Certificate in DER format (x509 v3), header length: 4, sequence length: 1152
2823177       0x2B1409        Certificate in DER format (x509 v3), header length: 4, sequence length: 5248
2842350       0x2B5EEE        Neighborly text, "neighbor %.2x%.2x.%pM lost rename link %s to %s"
2975744       0x2D6800        CRC32 polynomial table, big endian
3325064       0x32BC88        ASCII cpio archive (SVR4 with no CRC), file name: "dev", file name length: "0x00000004", file size: "0x00000000"
3325180       0x32BCFC        ASCII cpio archive (SVR4 with no CRC), file name: "dev/console", file name length: "0x0000000C", file size: "0x00000000"
3325304       0x32BD78        ASCII cpio archive (SVR4 with no CRC), file name: "root", file name length: "0x00000005", file size: "0x00000000"
3325420       0x32BDEC        ASCII cpio archive (SVR4 with no CRC), file name: "TRAILER!!!", file name length: "0x0000000B", file size: "0x00000000"

查看200.7z
#binwalk 200.7z

DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
0             0x0             LZMA compressed data, properties: 0x6D, dictionary size: 8388608 bytes, uncompressed size: 3328652 bytes

对200.7z进行解压缩后查看文件
#ls
0  0.7z

Tidessec

分离200这个文件之后文件目录如下所示：
tree
.
├── 29F288.xz
├── 2B13F5.crt
├── 2B13F9.crt
├── 2B1409.crt
├── 32BC88.cpio
├── console
├── cpio-root
│   ├── dev
│   │   └── console
│   └── root
├── dev
└── root

Tidessec

所有文件详细信息
#ls -Rl
.:
总用量 2072
-rw-r--r-- 1 root root 579588 5月  21 09:23 29F288.xz
-rw-r--r-- 1 root root 505495 5月  21 09:23 2B13F5.crt
-rw-r--r-- 1 root root 505491 5月  21 09:23 2B13F9.crt
-rw-r--r-- 1 root root 505475 5月  21 09:23 2B1409.crt
-rw-r--r-- 1 root root   3588 5月  21 09:23 32BC88.cpio
-rw-r--r-- 1 root root      0 5月   4 20:58 console
drwxr-xr-x 4 root root   4096 5月  21 09:23 cpio-root
drwx------ 2 root root   4096 5月   4 20:58 dev
drwx------ 2 root root   4096 5月   4 20:58 root

./cpio-root:
总用量 8
drwxr-xr-x 2 root root 4096 5月  21 09:23 dev
drwx------ 2 root root 4096 5月  21 09:23 root

./cpio-root/dev:
总用量 0
crw------- 1 root root 5, 1 5月  21 09:23 console

./cpio-root/root:
总用量 0

./dev:
总用量 0

./root:
总用量 0

Tidessec

下面求大佬给个继续的思路

光之翼1995

如果是用掌上大学获取动态密码登录的话，试试这个https://github.com/01Sr/fchinanet，我之前能用，现在毕业了，不知道能不能用。

Tidessec

光之翼1995 发表于 2018-5-21 09:41
如果是用掌上大学获取动态密码登录的话，试试这个https://github.com/01Sr/fchinanet，我之前能用，现在毕 ...

前几天接口更新了，大神弃坑了

意沙海

能用吗？？

834576829

意沙海 发表于 2018-7-2 16:34
能用吗？？

crazybox在江苏已经挂了，作者也不更新了，现在淘宝上有diybox和gswifi还在做

草芥帅帅子

你好，我现在和你碰到一样的问题了，请问你的解决了吗

hanwckf

crazybox的验证好像是做在内核里面的，很难弄，你还不如找别的开源方案做校园网登录……

haha31

去年没毕业的时候，用改mac地址，类似于arp欺骗的方式来用路由器（linux的路由就行）开wifi的，不知道现在还可不可以了