AX3600 SSH的现状和一些困境

高渐离

更新：请不要再回复了，已经成功获取SSH了，详情移步：https://www.right.com.cn/forum/thread-4032490-1-1.html

---

这一周研究了一下ax3600的固件，也和外网的大佬们交流了一波，现在说下现状吧。
现在遇到许多问题，首先是ax3600(小米又称R3600)的ttl设置的uart_en=0，导致了ttl连上去也不能进行任何操作然后uboot的boot_delay设置了off，自己在uboot使用tftp也没法刷。
其次是编程器，tsop48的编程器价格自己搜搜，价格感人
接着说说漏洞，目前已知luci上没有漏洞，原先的speedtest的程序注释掉了从tmp读取列表的代码，没法从外部上传任何东西
唯一的可能是CVE-2020-8597，缓冲区溢出漏洞，目前已经在R2100上成功利用的例子。
然而，参考R3600的发布时间，如果使用了高通最新的BSP，这个漏洞很可能已经被修复了，此外我并没有在R3600的pppd中找到eap_request这个函数：https://github.com/paulusmack/ppp/commit/8d7970b8f3db727fe798b65f3377fe6787575426#diff-b7f5f2404cf3f5c09b1f8ad9364bb340

此外，由于是arm架构，使用非常广泛，高通也算比较负责，因此栈保护机制基本是拉满了的：


如图，最关键的PIE和NX都打开了，实在不好整
我个人对这个漏洞的利用持悲观态度


现在情况就是这样，恩山人才济济，如果同仁们有新的的思路或者发现，欢迎回复留言

LonGDikE

大神厉害了

a2996303

奈何自己看不懂，只能一句，卧槽真牛逼

LonGDikE

那个人觉得，最快速的就是上编程器了……

643406834

自己看不懂，只能一句，卧槽真牛逼

高渐离

LonGDikE 发表于 2020-4-11 22:29
那个人觉得，最快速的就是上编程器了……

价格呢？焊接难度可不是spi能比的

LonGDikE

高渐离 发表于 2020-4-11 22:48
价格呢？焊接难度可不是spi能比的

热风抢吹应该会好点

LonGDikE

高渐离 发表于 2020-4-11 22:48
价格呢？焊接难度可不是spi能比的

Flash具体啥型号？

高渐离

LonGDikE 发表于 2020-4-11 23:08
Flash具体啥型号？

接口是tosp-48的，编程器非常贵

LonGDikE

高渐离 发表于 2020-4-11 22:48
价格呢？焊接难度可不是spi能比的

嗯，看网上拆机Flash是Winbond的W29N02G，支持的编程器最便宜的应该是RT809H，我看上面还预留8脚焊盘，找找替代型号

高渐离

LonGDikE 发表于 2020-4-11 23:28
嗯，看网上拆机Flash是Winbond的W29N02G，支持的编程器最便宜的应该是RT809H，我看上面还预留8脚焊盘，找 ...

外网说有个便宜的方法，大概是用单片机+座子，但是我不会弄，你试试？
https://forum.openwrt.org/t/new-xiaomi-router-ac2100/48101/54
其实最关键问题是我的焊接技术拆下芯片不可能装得回去。另外就算替换spi也需要先dump出原版的固件和uboot吧，另外还要魔改许多东西，姑且算下策

水舞风吟

高渐离 发表于 2020-4-12 00:57
外网说有个便宜的方法，大概是用单片机+座子，但是我不会弄，你试试？
https://forum.openwrt.org/t/new ...

其实要焊上去倒是有个办法
淘宝有免焊的导电漆
不过这么多针脚
我估计相当的费神

LonGDikE

高渐离 发表于 2020-4-12 00:57
外网说有个便宜的方法，大概是用单片机+座子，但是我不会弄，你试试？
https://forum.openwrt.org/t/new ...

嗯，确实是考验焊功了，我应该也不行……比较早之前就有人用支持双启的路由器改NAND编程器，也是TSOP48的，可以焊个免拆座子上去，哈哈……

yxsyan

必须支持下，就在等三方开发再下手。

SkyFervor

官方app连接路由的时候抓http包看看？不过个人觉得有漏洞的可能性不太大