磊科235W/磊科236W疑似被“入侵”的半永久解决方案！

real***

磊科235W/磊科236W被“入侵”的半永久解决方案！

11月30日更新：官方已放出修正固件，好不好用不知道，附上官方下载地址，胆大的刷吧！

官方235W漏洞修复固件：
http://www.netcoretec.com/download_detail/&downloadsId=336.html

官方236W漏洞修复固件：
http://www.netcoretec.com/download_detail/&downloadsId=337.html

本文相关固件及工具下载链接: http://pan.baidu.com/s/1eQkCvvk 密码: imqp

为避免口水战，本贴旨在分享和讨论如何解决被“入侵”的问题，至于原因及入侵方式本贴不作任何探讨，谢谢！

为何称为“半永久解决方案”？因为可能还有为止的后门端口，故不能保证下文所提到的方法能彻底根除这个问题。官方如果出修正固件了那最好，虽然1.8版做的很渣，但万一有新版本了呢？


本人因网络原因，24小时接入互联网的分别是一台235W和2台236W。

235W因需要远程访问监控设备开启了DMZ，未发现被入侵。
其中一台236W是作为二级路由使用也未发现被入侵。
另一台236W使用PPPOE拨号的方式直连外网，发现被入侵。

故障现象为后台登陆密码被非法篡改，网络流量异常，断网重新上传配置文件后发现CPU占用极速升高，约3分钟后后台登陆密码再次被非法篡改。故基本可以判断为利用固件自身的调试端口（所谓的后门）来达到“入侵”直连外网的该系列路由器的目的。


解决方案：

本坛已有大神总结出来，本人这里引述一下。

方案一：

如下图所示：开启路由器的“DMZ”功能，填入一个内网不使用的IP地址即可。如果你要使用DMZ这个功能请看方案二。



方案二：（推荐使用此方案）

如下图所示：开启路由器的“虚拟服务”功能，将目前已知的后门端口“5357”和“53413”添加进去，并指定到一个内网不用的IP上即可。相信很少有人会用到这两个端口。这边我直接把UDP和TCP的访问都干掉了。



以上两种方法均测试超过72小时，未见再次被“入侵”的情况！



操作步骤：

①断开路由器与外网的连接。
②重启路由器，使用TFTP工具中断路由器启动，进入“miniweb”点击“restore default nvram values”然后点“continue”就行了！中断启动和进入miniweb的方法请参见本人的刷机贴（https://www.right.com.cn/forum/thread-157880-1-1.html 视频2分05秒那边开始看）
③重新开机登陆路由器后台，此时的账户密码是默认的“guest”和“guest”，选择升级固件，重新上传原版固件。这里说明一下因各大神制作的的CFE不一样，附件中的固件仅支持使用我刷帖内提供的CFE和固件刷成功的机器。其它方法刷的机器因不知道CFE是否适配请自行甄别是否可以使用。
④如果是非正版机，请再次中断启动进入“miniweb”清除一下NVRAM，否则可能会有莫名其妙的问题。
⑤导入之前未被入侵时保存的配置或重新设定参数。

接入外网前请务必使用上述提到的方案先做好映射之后再接入外网，否则可能前功尽弃。



答疑：

Q1：为何一定要重刷固件？
答：因不知道入侵的程度如何，推断不出固件的受损情况。之前已有坛友断网恢复出厂设置之后，并添加了端口映射，接入外网后再次出现故障。

Q2：为何登陆路由后台刷而不使用TFTP工具直接刷入新固件？
答：考虑到玩机的坛友水准有高有低，保险起见还是web刷入较为安全，如果有能力的坛友推荐使用TFTP工具刷入固件，这个方法是最干净，最斩草除根的方法！

Q3：无法中断启动怎么办？
答：针对部分半砖机可能会出现无法中断启动的情况，可以使用Telnet命令来清空和重建NVRAM，具体操作方法参考本人的刷机贴这里不再赘述。

具体命令如下：每执行一步稍作等待再执行下一步！
mtd -r erase nvram

nvram commit

reboot


本文只是总结经验，抛砖引玉，欢迎探讨！

RealJack
2015.11.29

nh***

原来不单是我的路由有出现这种问题，你的也出现问题了。我的一个是H218N改的，出现问题了，重新开机一段时间后DHCP就连接不到，我还以为是改机的问题，后来换上个原厂的NR235W，重置，再配置，还是有问题，我就推测是不是被攻击了。  靠，这个磊科不知道能会提供技术支持吗？

real***

nhldp 发表于 2015-11-29 22:18
原来不单是我的路由有出现这种问题，你的也出现问题了。我的一个是H218N改的，出现问题了，重新开机一段时 ...

目测一大波正版非正版的机器都出问题了，这次飞机稿的有点大！

kid***

顶帖,看了很多帖子,楼主有心总结,感谢.
这两天Q3,集体出现问题,还以为机器硬件故障.

jo***

我花了2天，废了好大力气才排除路由故障问题，最后找来了这里，万恶的后门

nh***

realjack 发表于 2015-11-29 22:34
目测一大波正版非正版的机器都出问题了，这次飞机稿的有点大！

如果是非正版的被搞，那么只能说这些人与磊科有千丝万缕的关系。
但问题是，我有一个是NR235W的正版啊，也是出现这种问题啊。

tzxi***

万恶的后门

jiz***

官方已放出新固件。

real***

jizhan 发表于 2015-11-30 11:39
官方已放出新固件。

感谢告知！

wl***

jizhan 发表于 2015-11-30 11:39
官方已放出新固件。

刚看到，去下载了，不过没有写版本，估计还是原来版本吧，去升级再说

jfm***

靠...还真有这事出现......

搞死个人...最终换上备用路由了事....

411***

更新：我感觉新版本固件有问题，会死机

————————————————————————————

我的机器也出问题了，我差点就卖新路由器了，还好上恩山看了下

real***

411250 发表于 2015-11-30 16:51
更新：我感觉新版本固件有问题，会死机

————————————————————————————

感谢反馈，从1.7.130315之后的版本一个比一个差，现在的1.9只是屏蔽了漏洞端口，估计和1.8一个尿性！

暗恋师***

有什么办法，可以扫描路由器端口，扫出来，全部封了

abc***

中标的症状之一是不是wifi不能用？