中兴F7607P自启动程序,关闭JAVA插件

渡鸦 Pon技术来源:akbwe评论370阅读模式

移动定制版F7607P不带LXC容器,取而代之的是JAVA虚拟机,内置多个插件,包括名为APPCORE、ANDLINK、CMCCDPI的插件,用途可以从名字上窥见。机器rootfs分区为jffs2格式,挂载为只读。之前尝试过修改分区内容再写回闪存,但发现中兴对该分区有多重CRC校验和RSA证书签名,直接修改该分区的难度超出我的能力范围,遂转战其他地方。

分区结构如下:

/ # cat /proc/mtd
dev:    size   erasesize  name
mtd0: 10000000 00020000 "whole flash"
mtd1: 00200000 00020000 "u-boot"
mtd2: 00200000 00020000 "others"
mtd3: 00200000 00020000 "parameter tags"
mtd4: 00200000 00020000 "wlan"
mtd5: 00800000 00020000 "usercfg"
mtd6: 00600000 00020000 "middle"
mtd7: 02800000 00020000 "kernel1"
mtd8: 02800000 00020000 "kernel2"
mtd9: 03200000 00020000 "osgi1"
mtd10: 03200000 00020000 "osgi2"
mtd11: 03600000 00020000 "plugin_data"
mtd12: 024e0000 00020000 "rootfs"

挂载点如下:

查看/etc/下的各个自启动脚本,都没有任何调用其他分区程序的漏洞,就不打这里的主意了。ps查看正在运行的程序,可以看到所有的程序都是位于/bin或/sbin目录下,除了一个JAVA程序,位于/usr/java/bin目录下,df查看挂载点,发现/usr/java这个目录的挂载来源是是/usr/tmp目录下的镜像文件osgi.img,这就有办法了,替换掉这个镜像里的java程序为我们自己的启动脚本就行了。而/usr/tmp目录的挂载来源又是ubi0_0,应该就是mtd9和mtd10了,且挂载为只读。

先把osgi.img这个文件拷贝出来,发现是squanfs格式的镜像,debian下使用unsquashfs osgi.img命令解开镜像,然后进去bin目录,将原始的java程序重命名为java_renamed, 新建一个名为java的脚本,内容如下:

#!/bin/sh

if [ ! -f /tmp/started ]; then
        /usr/plugin/startup.sh &
        if [ -f /mnt/usb1_1/startup.sh ]; then
           /mnt/usb1_1/startup.sh &
        fi
        echo "sendcmd 1 DB set TelnetCfg 0 Lan_Enable 1" >/tmp/started
        echo "sendcmd 1 DB set TelnetCfg 0 InitSecLvl 3" >>/tmp/started
        echo "sendcmd 1 DB set TelnetCfg 0 Lan_EnableAfterOlt 1" >>/tmp/started
        echo "sendcmd 1 DB set TelnetCfg 0 Max_Con_Num 5" >>/tmp/started
        echo "sendcmd 1 DB save" >>/tmp/started
        echo "sendcmd 1 DB set TelnetCfg 0 TSLan_UName root" >>/tmp/started
        echo "sendcmd 1 DB set TelnetCfg 0 TSLan_UPwd password" >>/tmp/started
        echo "sendcmd 1 DB save" >>/tmp/started
       chmod +x /tmp/started
else
        echo "device already started"
fi
exit 1

脚本会自动调用可写目录/usr/plugin下的脚本startup.sh,如果检查到优盘中存在startup.sh文件的话,同样会调用。因为java程序有个守护进程osgid,每分钟会检测一次java程序是否运行,没运行的话会重复启动,所以我还在脚本开头加了一个判断逻辑,如果是开机后第一次启动就继续调用 startup.sh,否则退出

保存后记得chmod +x java给它执行权限,回到根目录外,使用mksquashfs命令把修改后的文件夹打包mksquashfs squashfs-root osgi.img -comp xz

接下来就是用修改后的osgi.img文件替换/usr/tmp下的osgi.mod。/usr/tmp挂载为只读,用如下命令重挂载为可写mount -o remount,rw ubi0_0 /usr/tmp,然后删除原来的osgi.img,发现个问题,删除文件后可用空间不增加,导致新的镜像文件不能写入,找不到解决办法,重启后解决。替换镜像后再次重启,进入/usr/java/bin目录,发现java程序成功被替换掉,startup.sh脚本被成功调用

startup.sh中加什么内容就看自己了,我先加了个开启telnet的命令,这样不用担心telnet被关。需要注意的是,osgid和java程序的运用用户不是root,是osgi用户,权限可能受限,目前发现在/userconfig目录下没有执行权限,所以不要把启动脚本放到这个目录下。其他的命令倒是没见受限,比如sendcmd命令设置telnet开关。光猫内所有的程序都是root用户运行,除了这个osgid

至于JAVA插件,java程序都被调换了,那自然运行不了了

尝试编译了udpxy放进去,能正常运行和监听,接口设置中添加了IPTV接口,改了iptables防火墙规则,但就是获取不到组播数据。之前在华为和天邑的光猫中也是一样的情况,还有待高人指点。7z b跑了下分,可能编译的原因,只能使用单核,成绩很一般

有人可能会问,加了自启动又有什么卵用?答:光猫拨号又没有软路由24小时待机的用户,可以把需要的程序编程成armv8放进去运行,armv8比较常见,很多二进制文件都可以拿来直接用

 

文章末尾固定信息

weinxin
我的微信
我的微信
微信扫一扫
 
渡鸦
  • 版权声明 本文源自 akbwe渡鸦 整理 发表于 2023年12月11日20:41:28
  • 转载请务必保留本文链接:https://www.ixmu.net/52.html
  • 中兴光猫
  • osgi
匿名

发表评论

匿名网友
:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen:
确定

拖动滑块以完成验证