[教程] 小米 AX3000 使用 xmir-patcher 工具开启SSH

Mino***

[?] 如果不想使用一键脚本或一键脚本注入时超时, 也可使用 curl 从另一个接口进行注入, 请参考此处。

—— 参考链接 ——

XMIR-Patcher GitHub Repo

MiWiFi SmartController Injection CVE

—— 前言 ——

前几天淘宝百亿补贴买了台小米 AX3000 路由器, 当初买主要是觉得它外观好看, 拿来和小米 AX3000T Mesh 的。结果拿到手发现论坛上一个开启 SSH 的教程都找不到。春节人正好出去了, 拿到货的时候就已经过了七天无理由退货期。想了想既来之则安之, 于是就尝试研究了几下, 看看有什么办法能打开 SSH。后面翻了好久, 终于在 OpenWRT 论坛上找到了一个国外大佬开发的开源小米路由器 SSH 一键解锁脚本, 试了下发现真能成, 于是就到论坛来给大家分享了。

—— 前期准备 ——

理论上来讲只需要一台可以连接到路由器的电子设备 (电脑 / 手机均可, 手机用 Termux 跑), 和一台 小米 AX3000 路由器。在我的网络环境下, 小米 AX3000 是作为 Mesh 子路由的, 但主路由模式下应该也能正常实现开启 SSH。

电脑环境:

• Windows 操作系统 (建议 ≥ Windows 10) / Linux-based 操作系统 (Ubuntu / Mac OS / ...)
• 使用有线 / 无线连接到 小米 AX3000 路由器 (或其的主路由)。
• Windows Terminal 或其他终端应用程序。
  

手机环境:

• 使用无线连接到 小米 AX3000 路由器 (或其的主路由)。
• 安装 Termux (如未安装 请自行搜索相关教程)。
• Termux 安装 Python 环境 (建议 Python ≥ 3.10.0) (如未安装, 请在 Termux 内运行 $ pkg install python -y (不要携带 $ 号执行))
  

路由器环境:

• 作为主路由或子路由接入网络。
• 运行 MiWiFi ROM 稳定版 1.0.46 。(部分设备出厂版本可能为 1.0.48, 该版本依然可用此漏洞, 无需降级) 。
  

—— 正文 ——

第一部分: 下载脚本并安装依赖
请前往该项目的 GitHub Repo 以下载脚本。

点击右上方的 "Code" 然后选定 "Download Zip" 即可下载项目的压缩包。

如果下载速度过慢或无法访问, 可以选择前往 123 云盘 下载文件 (注: 可能不是最新版, 提取码: eswx)。
下载完成后解压。

接下来, 请按下 Win + R 并输入 "cmd" 打开命令提示符, 或打开自己喜欢的终端软件。
1. 进入相关目录
使用命令

1. cd <目标目录>

复制代码

来进入到你解压 xmir-patcher 文件的目录。

2. 使用 pip 安装脚本依赖项
[!] 如果没有修改./run.bat强制使用本地 Python 环境请跳过此步
输入

1. pip install -r requirements.txt

复制代码

来安装脚本必要依赖项。
(如果下载速度过慢请自行搜寻教程)
等待安装完成。
第二部分: 使用脚本解锁 SSH
1. 启动脚本
在脚本目录下运行以下命令

1. .\run.bat

复制代码

这样就进入了脚本主页面。


如果你使用的是 Linux-based 操作系统, 请运行

1. leijun@XiaoQiang:~/xmir-patcher $ ./run.sh

复制代码

如果你将 AX3000 作为子路由使用, 请执行以下操作。
在脚本主菜单内输入 "1" 并回车, 随后输入你获取到的 AX3000 的 IP 地址。


回车后保存。

2. 开始启动脚本, 使用漏洞注入命令
一切检查无误后, 在脚本主菜单内输入 "2" (Connect to device, install exploit)。脚本将会尝试连接到路由器并读取路由器数据。
期间将会要求输入路由器的 WEB 管理密码, 输入设置的密码即可。
这个步骤执行后, 脚本会自动获取 stok 值。

接下来, 等待 2 - 5 分钟, 坐下来, 喝杯一氧化二氢, 静候一键脚本完成注入。

等待脚本出现如下图所示的输出时, 即代表注入成功。

脚本会自动返回主菜单, 输入 "0" 并回车即可退出脚本。
3. 测试 SSH 连接
回到 cmd, 或者打开你喜欢的远程连接应用, 执行以下命令:

1. ssh root@<路由器 IP 地址>

复制代码

脚本设置的默认密码为 root, 输入后连接即可。
大功告成!

—— 后记 ——

其实还是挺不容易的, 虽然主要功劳并不在我 (笑)。中间好几次想要放弃, 网上真是一点教程都找不到。看来以后还是要多逛逛 OpenWRT 论坛啊。

—— 注意事项 ——

这种情况下, SSH 开启后没有进行软固化。如果有相关需求, 可以参考论坛中相关教程进行固化。或者可以使用一键脚本, 进入主菜单后输入 "8" 并回车, 随后输入 "7" , 回车后即可自动执行软固化。

硬固化方法请见 此文 文末。

另一种注入方式 (使用curl) 请见此: https://www.right.com.cn/forum/f ... &tid=8348455&page=1

x4037***

这玩意 有人拿去测试下CR880X系列可能免拆，我机子已经拆机解锁过了

x4037***

1.0.48测试也可以开启SSH，无需降级

Mino***

x403795698 发表于 2024-2-19 17:14
1.0.48测试也可以开启SSH，无需降级

那小米这波漏洞问题还挺大, 到现在都没修。

Nakan***

太牛了，我得看看他的源码，之前ttl的方案还是没这个舒服

Nakan***

仓库文件中有python3.8环境，不需要额外安装

Mino***

NakanoSanku 发表于 2024-2-19 23:04
太牛了，我得看看他的源码，之前ttl的方案还是没这个舒服

研究了下相关漏洞, curl 注入版在此处 https://www.right.com.cn/forum/thread-8348455-1-1.html。虽然这篇里和 xmir-patcher 代码里用的方法不完全一样, 但注入的 API 是同一个。xmir-patcher 里是注入了 SmartController 里的 MAC 设置项, 美中不足的是这种注入每次执行命令不能超过 21 个字符, 所以执行长命令得用一个一个追加到文件里的方式。上面另外一种注入注入的是智能场景名称设置, 可以不限字符长度。

航校门***

谢谢分享 ，感谢大佬的付出

x4037***

Minorice 发表于 2024-2-20 00:04
研究了下相关漏洞, curl 注入版在此处 https://www.right.com.cn/forum/thread-8348455-1-1.html。虽然这 ...

测了，用AX3000T的固化方法，可以完美固化小米AX3000

Mino***

x403795698 发表于 2024-2-20 18:34
测了，用AX3000T的固化方法，可以完美固化小米AX3000

我前面也试了一下, 已经在隔壁帖子里更新了。https://www.right.com.cn/forum/f ... =8348455&page=1

jok***

什么时候能适配openwrt

Mino***

joker99 发表于 2024-3-6 13:07
什么时候能适配openwrt

参见 https://www.right.com.cn/forum/f ... =8349856&page=1。

kens***

按照步骤弄好了以后安装了 clash 然后路由器就一会儿断网 要一直重启才行 这是为啥啊

guan***

太牛了，感谢大神！

guan***

大佬能帮忙看看这是什么问题吗？解锁不了啊

Select: 2

device_name = RA80
rom_version = 1.0.46 release
mac address = 86:b1:55:28:00:00
Telnet server already running, but FTP server not respond
CountryCode = CN
Enter device WEB password: 123456789

Traceback (most recent call last):
  File "connect.py", line 59, in <module>
    import connect5
  File "E:\Github\xmir-patcher-main\connect5.py", line 264, in <module>
    res = get_all_scenes()
  File "E:\Github\xmir-patcher-main\connect5.py", line 100, in get_all_scenes
    return exec_smart_command("get_scene_setting")
  File "E:\Github\xmir-patcher-main\connect5.py", line 93, in exec_smart_command
    raise ExploitError(f'Error on exec command "{cmd}" => {res}')
connect5.ExploitError: Error on exec command "get_scene_setting" => {"code":-100,"msg":"connect failed"}