破解TPlink固件root权限

wangdongqq

由于tplink8088 8086等新路由器不支持静态路由，于是打算破解官方固件的root权限，网上有通过shell反弹获取root后刷机，但是本人没有成功，于是另辟蹊径对官方固件包进行了解压？

没想到官方固件是可以解压的，经过初步分析，初始密码是放在etc\password这个文件里，用记事本打开：

root1$dNsFN99g$95hSzpYnlq5hAYwCez5ux0:0:0:root:/root:/bin/ash
nobody:*:65534:65534:nobody:/var:/bin/false
admin:*:500:500:admin:/var:/bin/false
guest:*:500:500:guest:/var:/bin/false
ftp:*:55:55:ftp:/home/ftp:/bin/false
第一行应该就是root权限的账号和密码，要么对密钥进行解密，要么对固件的这个地方进行修改，然后刷修改后的固件，就可以获得root权限，无奈本人比较菜，接下来还不知道如何研究，希望有大佬或者同样感兴趣的朋友加入进来。
另外还发现了好多有意思的地方
官方安装了好多命令，其实如果开放ssh，也挺好玩的


data\plugin目录是路由器的插件，如虚拟服务器、upnp、ddns、dmz主机等插件的bin包，可以解压出源码

8267

解压不出源码怎么破解呢？我有个商业设备的固件，无法解压，没有ssh 但是开了telnet ，因为我让他给我降级固件的时候，售后技术人员远程桌面连接来通过telnet 把固件上传到tmp里，dd来刷的 就是不知道他输的是什么密码，

492716392

上传固件看看rootfs

wangdongqq

https://wwrq.lanzouu.com/i6FRW2n9thof

lucien2020

在支持telnet的固件下可以使用root+密码登录，正式版固件都是关闭telnet的，每个型号的密码是固定的
之后还得输入goash，得到Sign String的一串码，这个码需要TP那边去计算key

金色的噩梦

6088? 不是有官解debug固件么 直接刷就行了https://www.right.com.cn/forum/thread-8296029-1-1.html

wangdongqq

金色的噩梦 发表于 2025-2-10 15:37
6088? 不是有官解debug固件么 直接刷就行了https://www.right.com.cn/forum/thread-8296029-1-1.html ...

不想刷op，只想在原厂固件的基础上增加一个静态路由

金色的噩梦

wangdongqq 发表于 2025-2-10 15:51
不想刷op，只想在原厂固件的基础上增加一个静态路由

那就用反弹shell 自己破解 稍微改一下老的办法就行

wangdongqq

金色的噩梦 发表于 2025-2-10 16:09
那就用反弹shell 自己破解 稍微改一下老的办法就行

反弹shell没成功，可能是固件是1.0.31，也不想搞了，变砖风险太大不划算

金色的噩梦

wangdongqq 发表于 2025-2-10 23:48
反弹shell没成功，可能是固件是1.0.31，也不想搞了，变砖风险太大不划算

破解是不会变砖 1.0.31应该也可以搞 但是你破了要用原版固件 来加静态路由 也比较麻烦 先要加个root权限用户 关闭psh 软件包安装ssh或者telnet 还要 很多命令都没有 自己弄的话要有些动手能力

wangdongqq

金色的噩梦 发表于 2025-2-10 23:56
破解是不会变砖 1.0.31应该也可以搞 但是你破了要用原版固件 来加静态路由 也比较麻烦 先要加个root权限 ...

对，还不如旁路由dhcp来的快

金色的噩梦

wangdongqq 发表于 2025-2-11 00:54
对，还不如旁路由dhcp来的快

如果你想破 我有时间的话可以帮你搞一下 也不是不行 不过不包成功 我手头只有6086 试过最新固件 应该和60881.0.31差不多

wangdongqq

金色的噩梦 发表于 2025-2-11 07:26
如果你想破 我有时间的话可以帮你搞一下 也不是不行 不过不包成功 我手头只有6086 试过最新固件 应该和60 ...

谢谢你，不破解了

batttttt

我也想破