中兴小方糖 Z503 刷 Z506 固件

cnjn

中兴小方糖 Z503 (zxhn z503/zxhn h196a) 刷 Z506 固件

0. 前言

1. h196a是国际版，Z500是国内电信版，Z503 是国内移动版，Z507是国内联通版，Z506是国内公版固件。它们硬件一样，都是小方糖。

2. 我手上的 Z503 是v1.0.0的坑货，无法mesh组网。由此我开始折腾刷机

3. 由于我也没想到我真能成功刷机，等我反应过来的时候，我已经变成 Z506 了，所以，所有在 Z503 上的操作都没有截图。

1. 开启telnet

1. 进路由器后台

2. 进“管理与诊断”

3. 进“备份用户配置”（可能是叫这个名吧，记不太清了）

4. 备份当前用户配置，你会得到一个config.bin

5. 对 config.bin 进行解密 (脚本见 ztetool.py, https://archive.org/download/ztetool 也可以在最下面的论坛附件中下载)，得到 config.xml，然后修改 TelnetCfg

   

uv run ztetool.py -d -r z503  ~/Downloads/zxhn_z500/config.bin config_z503.xml   

1. <Tbl name="TelnetCfg" RowCount="1">
   
2. <Row No="0">
   
3. <DM name="TS_Enable" val="1" />
   
4. <DM name="Wan_Enable" val="0" />
   
5. <DM name="Lan_Enable" val="1" />
   
6. <DM name="TS_Port" val="23" />
   
7. <DM name="TS_UName" val="root" />
   
8. <DM name="TS_UPwd" val="aaa111" />
   
9. <DM name="Max_Con_Num" val="5" />
   
10. <DM name="Max_Auth_Tries" val="3" />
    
11. <DM name="Auth_Lock_Time" val="60" />
    
12. <DM name="ProcType" val="0" />
    
13. <DM name="Level" val="3" />
    
14. <DM name="DSCPRemark" val="-1" />
    
15. <DM name="VLanPrioRemark" val="-1" />
    
16. <DM name="QueueNum" val="-1" />
    
17. <DM name="TimeoutEnable" val="0" />
    
18. <DM name="TimeoutInterval" val="300" />
    
19. <DM name="SecurityEnable" val="0" />
    
20. </Row>
    
21. </Tbl>
    

复制代码

6. 对修改后的配置重新打包

   

uv run ztetool.py -e -r z503  config_z503.xml ~/Downloads/zxhn_z500/config_telnet_enabled.bin

有一些朋友不熟悉python，希望我附上一份我的config_telnet_enabled.bin。我这里放一个。但我要声明：我并没有在别的机器上测试过，我不知道这个配置文件是否对相同机型就一定通用。刷上去可能可以直接用，也可能开不了机，此时请按住屁股后面的reset，重置系统吧。

有朋友用过了，可以用，就是Wi-Fi变成了我的默认Wi-Fi账号密码：

我的路由器管理密码是 user / 2T5#43TR 。用这个开telnet的朋友，刷完z506后恢复一下出厂设置，Wi-Fi密码、管理密码应该就对得上路由器标签上的信息了。

7. 用 config_telnet_enabled.bin 恢复用户配置，系统会重启。然后telnet就开起来了。

   telnet账号密码：root/aaa111。如果你登陆失败了，试试默认的 root/abc123!@#

2. 扩容 /var

telnet 进路由器后，执行下面的命令，扩容 /var 目录。

mount -o remount,size=32M /var

这个步骤一定要走。因为 Z506 V1.0.0.2B2.8000 的固件有20M，这超过了 /var 目录的容量，所以刷机之前要扩容。否则刷机时会提示“文件上传失败”。

3. 更新固件

1. 进“系统升级”（可能是叫这个名吧，记不太清了）

2. 上传 zxhnze50x_hv100_fv1002b28000_firmware-20230615093954.bin 固件 (https://archive.org/download/zxhnze50x_hv100_fv1002b28000_firmware-20230615093954， 蓝奏云： https://wwanu.lanzoue.com/ijPLK3vbfl1i)  

3. 确认升级

4. 系统会自动重启，重启完就是 Z506 了。

5. Z506 的管理密码和 Z503 的管理密码一样。

4. Mesh 组网

我的目的就是让这个该死的 Z503 V1.0.0 也能mesh组网，所以这一步必不可少

1. 找根牙签，戳住路由器屁股后面的  reset 按钮，大概10秒吧，凭感觉。路由器自动恢复出厂设置。

2. 主路由的 lan 口接小方糖的 wan 口，等待1分钟，即可自动组网。

5. 修复 Z506

进到 z506 后，我发现我居然还是 z503 的形状。主页上那张属于 “z506” 的图显示不出来。

1. 老辈子打法，开启telnet，不再赘述。

   

uv run ztetool.py -d -r z506  ~/Downloads/zxhn_z500/config_z506.bin config_z506.xml

   在 config_z506.xml 中开启 telnet，然后：  

uv run ztetool.py -e -r z506  config_z506.xml ~/Downloads/zxhn_z500/config_telnet_enabled_z506.bin

2. telnet 进路由器，备份 tags.bin

   

1. cat /dev/mtdblock2 > /tmp/tags.bin

复制代码

3. 回传 tags.bin

   1. 主机起一个 ftpd

      

uv tool install pyftpdlib

uv tool run --from pyftpdlib python -m pyftpdlib -w -u user -P 123456 -p 2121

   2. 进路由器，回传 tags.bin 到主机

      

wput_ftp /tmp/tags.bin ftp://user:123456@192.168.5.2:2121/tags.bin

4. 修改 tags.bin，我已经准备好了 mod_tags.py 脚本  (https://archive.org/download/mod_zte_tags)

1. ➜  ZXSLC_SR1010 git:(main) ✗ uv run scripts/mod_tags.py ~/Downloads/zxhn_z500/tags.bin list
   
2. file    : /Users/cnjn/Downloads/zxhn_z500/tags.bin
   
3. magic   : 0x33333333
   
4. size    : 0x13C (316)
   
5. crc     : 0x81F8F550
   
6. entries : 12
   
7. ======================================================================
   
8. [  0]     0x0100  ->  hex:***
   
9. [  1]     0x0101  ->  hex:***
   
10. [  2]     0x0400  ->  str:CMCC-2aDc
    
11. [  3]     0x0404  ->  str:CMCC-pgCz
    
12. [  4]     0x0510  ->  str:***
    
13. [  5]     0x0530  ->  str:***
    
14. [  6]     0x0701  ->  str:***
    
15. [  7]     0x8100  ->  str:ZXHN Z503
    
16. [  8]     0x0200  ->  str:***
    
17. [  9]     0x0300  ->  str:***
    
18. [ 10]     0x8010  ->  str:***
    
19. [ 11]     0x0807  ->  str:1
    
20. ➜  ZXSLC_SR1010 git:(main) ✗
    

复制代码

   那些星号是我打码的串号之类的东西，实际使用中都是明文。

   把 Z503 改成 Z506：

   

1. ➜  ZXSLC_SR1010 git:(main) ✗ uv run scripts/mod_tags.py ~/Downloads/zxhn_z500/tags.bin set 0x8100 "ZXHN Z506"
   
2. [+] wrote /Users/cnjn/Downloads/zxhn_z500/tags.bin: size=316 crc=0x86F35EF1 total=1048576
   
3. [+] set 0x8100 = str:ZXHN Z506
   
4. ➜  ZXSLC_SR1010 git:(main) ✗ uv run scripts/mod_tags.py ~/Downloads/zxhn_z500/tags.bin list
   
5. file    : /Users/cnjn/Downloads/zxhn_z500/tags.bin
   
6. magic   : 0x33333333
   
7. size    : 0x13C (316)
   
8. crc     : 0x86F35EF1
   
9. entries : 12
   
10. ======================================================================
    
11. [  0]     0x0100  ->  hex:***
    
12. [  1]     0x0101  ->  hex:***
    
13. [  2]     0x0400  ->  str:CMCC-2aDc
    
14. [  3]     0x0404  ->  str:CMCC-pgCz
    
15. [  4]     0x0510  ->  str:***
    
16. [  5]     0x0530  ->  str:***
    
17. [  6]     0x0701  ->  str:***
    
18. [  7]     0x8100  ->  str:ZXHN Z506
    
19. [  8]     0x0200  ->  str:***
    
20. [  9]     0x0300  ->  str:***
    
21. [ 10]     0x8010  ->  str:***
    
22. [ 11]     0x0807  ->  str:1
    
23. ➜  ZXSLC_SR1010 git:(main) ✗

复制代码

5. 刷入 tags.bin

   1. 主机起一个 http 服务

      

python3 -m http.server

   2. 路由器上下载 tags.bin

      

wget http://192.168.5.2:8000/tags.bin -O /tmp/tags.bin

   3. 刷入 tags.bin

      

cat /tmp/tags.bin > /dev/mtdblock2

6. 重启

7. 完美收工！

  

  

参考资料

1. https://orca.pet/zteh3600p/ 从这里，我知道可以覆盖console环境变量以控制kernel commandline参数，强行进入shell；知道了 tags.bin；知道了怎么解密 config.bin

2. https://blog.rop.la/en/reversing ... -routers-part1.html 从这里，我知道可以指定 init=/bin/sh 进入shell

3. https://voz.vn/t/unlock-mesh-zte ... ban-quoc-te.903294/ 从这里，我知道了bootloader的启动密码是 5cE080@fyBD

如果兄弟们不会这些操作，交给Claude Code/Codex/OpenCode操作就好了。参考资料：

这个附件里只有用到的脚本和markdown原文，没有系统固件。此处仅作备份。


完整资料蓝奏云：https://wwanu.lanzoue.com/igXvP44du8oj

nwber

适合小白的操作如下（如出现其他小问题，请自行百度或豆包即可）：
完全是根据cnjn楼主的教程走的，强烈建议楼主将mod_tags.py和ztetool.py一并打包到蓝奏云供未注册的网友下载，代表广大未注册的网友十分感谢您！

（一）安装、配置python：百度或豆包一下，python3.14就可以。
（二）安装uv（用Win+X → 选择 Windows PowerShell执行uv命令，提示'uv' 不是内部或外部命令：uv 没装，或者装完没有重启终端。其他问题请百度或豆包）在“PowerShell窗口”安装即可：

1. winget install --id=astral-sh.uv -e

复制代码

▼开启telnet的过程为（好像移动默认的是192.168.10.1为多）：将路由器中的config.bin备份到电脑上，在电脑“PowerShell窗口”中将config.bin转换成config_z503.xml，电脑上对config_z503.xml进行相应修改，再将config_z503.xml打包回config.bin，覆盖原来的config.bin即可。
◆将config.bin和ztetool.py和mod_tags.py放同一个文件夹内，并在同一个文件夹内打开“PowerShell窗口”输入

1. uv run ztetool.py -d -r z503  config.bin config_z503.xml

复制代码

即可得到config_z503.xml，打开修改相应的内容（2处+1处密码）保存即可，继续在“PowerShell窗口”输入

1. uv run ztetool.py -e -r z503  config_z503.xml config_telnet_enabled.bin

复制代码

打包回去。
◆重新登陆路由，在“用户配置管理”“恢复用户配置”中选择“config_telnet_enabled.bin”恢复。
（三）进入telnet：开启 Windows Telnet 功能：控制面板 → 程序 → 启用或关闭 Windows 功能 → 勾选 Telnet 客户端，确定安装。打开“ cmd（命令提示符）”执行cmd，输入：telnet 192.168.10.1，提示输入账号root，密码aaa111或abc123!@#（config_z503.xml里没修改的话），执行相应的“扩容 /var：

1. mount -o remount,size=32M /var

复制代码

”命令即可。
◆登陆路由，在“版本升级”中选择“zxhnze50x_hv100_fv1002b28000_firmware-20230615093954.bin”升级。
（四）修改tags.bin中的Z503为Z506的过程为：先将路由器中的tags.bin备份到路由器中，再将备份的tags.bin传到电脑上，在电脑上对tags.bin进行相应修改后，再传回路由器中，覆盖原来的tags.bin。
◆因为升级了软件版本，需要重新开启telnet的过程（此时大部分会变成192.168.5.1了）：

1. uv run ztetool.py -d -r z506  config.bin config_z506.xml

复制代码

（注意：和原来不一样的设置，原来的是“z503”，现在是“z506”），修改后重新打包

1. uv run ztetool.py -e -r z506  config_z506.xml config_telnet_enabled_z506.bin

复制代码

后，登陆路由器，在“系统”“备份配置”“恢复用户配置”中选择“config_telnet_enabled_z506.bin”恢复配置。
◆路由器中备份tags.bin：通过telnet

1. cat /dev/mtdblock2 > /tmp/tags.bin

复制代码

备份。
▼设置电脑为192.168.5.2（也可以其他，下面对应的地址修改）
◆搭一个电脑ftp：“PowerShell窗口”：

1. uv tool install pyftpdlib

复制代码

，如无，则用“ cmd（命令提示符）”下载安装一下。“PowerShell窗口”：

1. uv tool run --from pyftpdlib python -m pyftpdlib -w -u user -P 123456 -p 2121

复制代码

后，不要关闭。
◆通过telnet

1. wput_ftp /tmp/tags.bin ftp://user:123456@192.168.5.2:2121/tags.bin

复制代码

，将tags.bin传送到刚搭的电脑上（注意看下文件夹下多了一个tags.bin）。
◆修改tags.bin，重开“PowerShell窗口”：

1. uv run mod_tags.py tags.bin list

复制代码

，修改对应的Z503为Z506：

1. uv run mod_tags.py tags.bin set 0x8100 "ZXHN Z506"

复制代码

◆搭一个电脑 http 服务“PowerShell窗口”：

1. python3 -m http.server

复制代码

后，不要关闭。
◆通过telnet，将tags.bin传回路由器：

1. wget http://192.168.5.2:8000/tags.bin -O /tmp/tags.bin

复制代码

◆通过telnet，将tags.bin覆盖原来的：

1. cat /tmp/tags.bin > /dev/mtdblock2

复制代码

cnjn

兄弟们，我还有一篇鸿篇巨著，星云max的全分析。可惜论坛限制五万字，我(ai)十分齐全的写了16万字，我上传不上来。
星云max有自己的插件系统，底层还有lxc容器，似乎颇有可玩性。

还有星云max的所有固件，改日再上传吧。

cnjn

还有就是，论坛不支持markdown格式，原样把帖子搬上来的过程，未免太痛苦了。唉😮‍💨

loveyjc236

py文件要怎样用，直接打开闪退了

cnjn

loveyjc236 发表于 2026-7-5 11:48
py文件要怎样用，直接打开闪退了

要安装python3，还要安装加密库。

这一块可以让 deepseek/豆包 指导一下你

dongjie

真大神，一直在找 503 的刷机包和刷机方法一直没找到，另外问一嘴，固件刷完之后指示灯正常了么 ？之前一直是亮红灯 但是不影响使用，我要把我的移动有 mesh的版本刷成公版的，不知道能不能成

cnjn

dongjie 发表于 2026-7-6 21:22
真大神，一直在找 503 的刷机包和刷机方法一直没找到，另外问一嘴，固件刷完之后指示灯正常了么 ？之前一直 ...

正常了。我的led之前也一直是红的，蜂鸣器还一直叫。现在变成绿灯了，蜂鸣器也安静了

dongjie

cnjn 发表于 2026-7-6 22:40
正常了。我的led之前也一直是红的，蜂鸣器还一直叫。现在变成绿灯了，蜂鸣器也安静了 ...

我已经刷完了 正常工作了，但是后面的图片还没换  明天再搞，再次谢谢楼主

dongjie

cnjn 发表于 2026-7-6 22:40
正常了。我的led之前也一直是红的，蜂鸣器还一直叫。现在变成绿灯了，蜂鸣器也安静了 ...

谢谢大佬，早上一早起来就迫不及待的开整 ，已经好了

lehaha

大佬，archive链接打不开，给个其他下载方式吧，比如github啥的

shihy

成功了，正准备卖了换个能组网的，感谢大佬。

shihy

大佬，是不是可以通过你这种办法升级刷过机的E2633呀？

cnjn

shihy 发表于 2026-7-7 19:25
大佬，是不是可以通过你这种办法升级刷过机的E2633呀？

我不明白你的意思。已经刷过机的E2633是啥，为什么不能升级了？

shihy

cnjn 发表于 2026-7-8 04:45
我不明白你的意思。已经刷过机的E2633是啥，为什么不能升级了？

https://www.right.com.cn/forum/thread-8289588-1-1.html
大佬你看下这个帖子，e2633是中兴ax3000巡天版的定制机，用这个固件刷成公版V1.0.0.3B1.8000之后就不能升级了，同时向中兴服务器请求的型号还是定制版型号，检测不到新版本，能否通过telnet上传新版的固件更新？（我telnet连接上后把tags.bin下到主机也失败了，输入命令后等待10秒左右无报错，但主机没文件）

这是分区详情：
/tmp # mount/dev/root on / type jffs2 (ro,relatime)proc on /proc type proc (rw,relatime)tmpfs on /var type tmpfs (rw,relatime,size=30720k)tmpfs on /tmp type tmpfs (rw,relatime,size=20480k)tmpfs on /tracelog type tmpfs (rw,relatime,size=2048k)sysfs on /sys type sysfs (rw,relatime)debugfs on /sys/kernel/debug type debugfs (rw,relatime)tmpfs on /mnt type tmpfs (rw,relatime,size=16k)/dev/mtdblock3 on /wlan type jffs2 (rw,relatime)/dev/mtdblock4 on /usercfg type jffs2 (rw,relatime)/dev/mtdblock5 on /defcfg type jffs2 (rw,relatime)/dev/mtdblock9 on /UUPlugin type jffs2 (rw,relatime)/dev/mtdblock10 on /owdptsplugin/bin type jffs2 (rw,relatime)tmpfs on /owdptsplugin/tmp type tmpfs (rw,relatime,size=2048k)/tmp #刷公版的固件有两个版本，一个是V1.0.0.3B1.8000，一个是V1.0.0.6B3.8000如下：
https://wwbnc.lanzoub.com/idVC93v2k6be

ztb6919

固件无法下载，Z506 固件能发一个吗？qq：842286360  谢谢