Jarvis's Blog

白帽子、全栈、IoT安全专家、嵌入式系统专家

天翼网关3.0（中兴F650 4.0）光猫破解方法（无需拆机）

Jarvis ·

2021-11-6更新：

重磅解决方案：

发布中兴光猫全系开telnet工具破解版，无需lisence，无需绑定电脑，可开中兴所有光猫的telnet，有需求可直接下载使用：https://www.jarvisw.com/?p=1517

2021-4-4更新：

鉴于很小伙伴发邮件给我让我帮忙解密配置文件，考虑到需求量还比较大，为此专门做了一个光猫配置文件在线加解密工具，各种型号会陆续支持，欢迎大家支持一下提提建议：https://www.jarvisw.com/onutools

2021-3-21更新：

有外省小伙伴说重置无效，不会恢复默认密码，为此我又仔细分析了一下光猫的固件，发现在/etc/restore_cfg.json文件里配置了每个省的RESET策略，比如有的省RESET时就会清除LOID和默认配置，有的省只清除配置，不清除LOID，只有满足不清除LOID且清除配置的省份才能使用此方法。满足条件的省份只有重庆和浙江。其他省份我再研究研究，日后有新方法会继续更新。

===============以下原正文============

最近小伙伴家里新装了一条电信宽带，目前浙江电信新装的宽带给的光纤猫已经是最新款的中兴F650了，硬件版本4.0，软件版本V3.0.0P1T1，如下图：

经过一些资料查找，普遍显示这个光纤猫是21年新出的款，目前网上还没找到现成的破解资源，之前切换地区的版本入口也已经被删，移动存储U盘越权读文件的漏洞也已经被修复，而且TTL console也被关闭了，当进入系统时就没有输出了。虽然万能的淘宝已经有远程破解了，无奈卖家要收100元，要知道这个光猫本身才120啊。本着探究精神研究了一下，发现了不少有意思的东西，为了造福大家，我把破解方法先放出来，供大家参考。

第一步：拔掉光纤（因为当ONU设备注册上网络的时候，电信远端会通过tr069协议管理每个端设备，如果不拔掉一旦连上网超管密码就会被修改），按RESET（最新的4.0版本光猫重置不会丢失拨号，LOID、VOIP和TV的配置，不用担心，只是会把默认telecomadmin的密码恢复为出厂值而已），当看到所有灯亮起即表示重置成功。这时候telecomadmin的密码就会被恢复成默认密码nE7jA%5m。

备注：网上已经有很多人用这种方法进去改桥接以及修改配置了，但是主要麻烦的点是每次插上光纤注册网络之后，密码就会被改掉，下次还想去改其他配置又得重新RESET，有点麻烦，所以本文接下来给出的就是怎样持久化获得telecomadmin的权限，有需求的继续看即可。

第二步：找一个U盘（最好格成NTFS文件系统，其他的比如exFAT会识别不出来），插在光猫边上的USB口上，然后用默认的telecomadmin密码登录后台，点击管理->设备管理，如下图，这里有一个备份配置文件到U盘的功能，如果U盘正常识别的话在USB分区选择里面会出现/USB_disc1这种选项，如果是空的说明U盘没识别出来，这一步我们点击“备份配置”，就会在U盘根目录下生成一个e8_Config_Backup文件夹，里面会有一个cfg文件。不过是加密的。如下图。

第三步：解密/修改配置文件打开telnet，这一步是关键，因为这一代的加密和之前的光猫都不同，目前网上还无法找到这一款光猫的配置文件加解密工具，需要自己进行修改，不过我在github上找到一个项目zte-config-utility，虽然并不能解密我这一款光猫的配置文件，但是大部分代码都还可以复用，经过对光猫固件的逆向工程，发现只需要修改小部分即可，为了防止奸商窃取代码拿去淘宝卖，具体细节我这里先不放出代码，如果有需要的我可以友情支持一下，解密之后在配置文件里找到下面这一段：

这里就是telnet的默认配置了，我们直接把Lan_Enable改成1，InitSecLvl改成3，然后保存，重新加密之后，放回U盘根目录里的e8_Config_Backup文件夹（注意不要改原来cfg的文件名，保持和之前备份的文件名完全一致）

第四步：恢复配置文件，插上U盘，在后台找到刚才备份的地方，在快速回复后面的勾打上，然后点页面最底下的重启按钮即可。

重启完成之后，光猫的telnet就被永久打开了，然后我们插上光纤，正常注册网络，这时候telecomadmin的密码就会被电信修改为新密码。

第五步：获取电信修改后的新密码，以方便以后登录后台操作。因为之前我们开了telnet，所以这时候可以直接telnet上去就操作。但是问题是，以前telnet上去通过常规方法是发送命令sendcmd 1 DB p DevAuthInfo来获取登录密码，但是这种方法早就不行了，获取到的内容里面用户名密码全是”*******”。这之后应该这样操作，插上U盘之后执行命令cp /userconfig/cfg/db_user_cfg.xml /mnt/USB_disc1/，然后通过和第三步同样的方法解密db_user_cfg.xml之后，就可以获得电信修改过之后的telecomadmin密码，方便以后登录，如下图：

到此，这款光猫就被完全破解了。

后记

后来我在网上发现了一个文章http://www.chinadsl.net/thread-167247-1-1.html，大概意思就是就是中兴原厂有一个使能telnet的工具叫做factorymode.exe，就是可以临时开启telnet，只要是中兴的光猫都可以开启，很多人说淘宝的远程破解都是利用这个工具做的，网上找了一圈很难下到，问了很多人要么就是要卖我2000元，要么就是不给。对此我对固件再做了一些逆向工程，发现中兴真的留了这样一个相当于后门的东西，经过仔细逆向协议之后，终于用python自己写了一个程序实现了类似的功能：

执行之后就会返回：FactoryModeAuth.gch?user=Jpm5OUE2&pass=5F9eJtrA，这里telnet就会打开并且把用户名/密码设成随机值返回回来。

不过这个就不太好用，只要重启光猫telnet就又要重新开，还是前面我这种直接改配置文件的方法比较持久一点，由于这个方法影响中兴全系列光猫，暂时不打算放出细节。奸商就不要找我了，对于普通用户来说，前面公布的方法已经足够使用。

关于新版本内核(4.17+)以后无法使用jprobe的替代方案

上一篇

今天修复了网站的留言功能

下一篇
相关文章

  • CC2640/2650 IAR环境编译报错Error while running "D:\ti\xdctools_3_31_01_33_core\xs"原因分析

  • TI DSP TMS320F28335上的TCP/IP协议栈

  • CAN Omega 1.1版本开发笔记（一）

  • CAN Omega 1.1版本开发笔记（一）

  • CAN Omega 1.1版本开发笔记（二）——CAN总线120Ω端电阻的正确理解

  • CAN Omega 1.1版本开发笔记（二）——CAN总线120Ω端电阻的正确理解

  • mw4530r/wdr4320编译Openwrt Designated Driver

  • mw4530r/wdr4320编译Openwrt Designated Driver

评论
发表评论 说点什么

    • Jarvis

      不应该啊，我看所有地区恢复默认密码都是这个，你要不光猫正反面拍个照发我邮箱看看？

    • Jarvis

      是同款，不应该啊。浙江这表好多人重置之后都可以的。可能不同地区的默认密码不同，浙江地区都是可以的，其他地区的我再看看。

    • Tao

      F450 4.0 生产日期2021年1月，拔光纤按RESET键等灯闪后如果放开，不回恢复，连我设的useradmin密码及无线密码都没有还原。如果按RESET键等灯闪4次后不再闪全亮时放开，那么就恢复出厂了，Loid及配置都没有了。此时用户密码为telecomadmin和nE7jA%5m，可以通过U盘导出配置文件，但是从网上找的ztecfg.py解不了此配置文件、报错。它好像对3.0版的配置文件有效，对4.0版的不行。

    • Jarvis

      破案了，进一步分析了一下，我发现各地的Reset策略是不一样的，浙江地区的reset会清除密码，但是像湖北，策略就不一样，按RESET按键不会清除密码，我贴出来大家可以对比一下：
      湖北的：
      "Hubei": { "RegionCode": "211", "KeyRestoreLocal": { "IsRmTr069EnvFile": "0", "IsSameAsRemote": "0", "IsDelLoid": "0", "IsClearAllCfg": "0" }, "KeyRestoreRemote": { "IsRmTr069EnvFile": "1", "IsDelLoid": "0", "IsClearAllCfg": "0" }, "MediaRestoreLocal": { "IsRmTr069EnvFile": "0", "IsSameAsRemote": "0", "IsDelLoid": "0", "IsClearAllCfg": "0" }, "MediaRestoreRemote": { "IsRmTr069EnvFile": "1", "IsDelLoid": "0", "IsClearAllCfg": "0" }
      浙江的：
      "Zhejiang": { "RegionCode": "214", "KeyRestoreLocal": { "IsRmTr069EnvFile": "1", "IsSameAsRemote": "0", "IsDelLoid": "0", "IsClearAllCfg": "1", "IsDelAuditKjwlPlugin": "1" }, "KeyRestoreRemote": { "IsRmTr069EnvFile": "1", "IsDelLoid": "0", "IsClearAllCfg": "1", "IsDelAuditKjwlPlugin": "1" }, "MediaRestoreLocal": { "IsRmTr069EnvFile": "1", "IsSameAsRemote": "0", "IsDelLoid": "0", "IsClearAllCfg": "1", "IsDelAuditKjwlPlugin": "1" }, "MediaRestoreRemote": { "IsRmTr069EnvFile": "1", "IsDelLoid": "0", "IsClearAllCfg": "1", "IsDelAuditKjwlPlugin": "1" } },

    • boyoio

      我也是湖北的，尝试多重reset按法，都不能恢复出厂，唉，卡在了第一步。

    • boyoio

      最新：加了8080，成功了，即使湖北的不能恢复出厂超密，也能顺利打开并拿到临时telnet密码，进去先更改超密，然后后一切自如。湖北电信F450，P1T4版本

    • Jarvis

      这款不知道网上有没有现成的加解密工具，我是自己写的，你要不找找？找到了可以告诉我。

  • lee

    山东表示很淦， 想进去绑定ip和mac呢， 网上找了一大圈也没找到

  • 喵星人不吃鱼

    获取密码那一段，应该不用这么麻烦，有telnet可以直接把管理员用户的密码改掉或者把普通用户直接提权，sendcmd 1 DB set DevAuthInfo 0 Pass admintelecom类似这种把管理员密码直接修改成adminteleadmin就好用了

    • Jarvis

      你修改了电信过段时间又会重新给你改回去的，你每次重改还是挺麻烦的。

    • 喵星人不吃鱼

      改掉之后可以进去删除tr069就行了，删除按钮灰色但有个古老的bug就是F12去掉disable

    • wrlgeg

      谢谢！我用telnet 把useradmin和密码输入却显示access denied 应该是无权限，是不是我在前面再次重置有关系.

    • Jarvis

      你打开我发给你那个xml，搜索telnet，然后telnet的登录用户名是user,然后密码你里面自己看下是多少，ZTEG开头的那个

    • wrlgeg

      谢谢！刚按你的方式已经下载了db_user_cfg，再帮忙解下，感恩！！

  • zcv

    你好，能不能用文末的zte_opentelnet.py帮我远程开启telnet，远程完删除文件就行，谢谢

  • ZZZ

    是山东的，重置虽然会清除LOID，但是已经拿到了LOID就可以用本文方法吧？

  • 奶瓶小猪

    新光猫点击快速装修入口只有设备注册，没有电信登录页面？怎么搞？

    • Jarvis

      随便填个LOID点注册，过一段时间直接关掉就行，然后192.168.1.1就可以登了

  • Rory

    你好，山东地区只想打开upnp 功能。可以通过拔了光纤，重置光猫进入设置不？

    • Rory

      关闭的啊…以前是天邑的光猫。要进去开启。刚换的F650 。山东版本拔光纤后reset ，影响使用不？

    • rory

      闲鱼5块钱买到超级密码了。upnp 是没打开的。

    • Jarvis

      你买的是可以直接告诉你的那种吗？还是要远程到你机子上破解？

    • rory

      随便提供任何一个信息。宽带账号，loid， 光猫信息。一秒钟给你密码那种。估计电信内部的…要不然就是密码生成有规律……

    • 稻草人

      武汉地区的 淘宝10元直接密码 估计是电信后台运维的

  • zxb888

    浙江电信的中兴ZXHN F650 (硬件3.0，软件V2.0.3P1T4），用您的办法能破解吗？人在外地，先问一下。

  • 悟休

    似乎4.0对内部文件做了只读保护，/目录下都只读，虽然可以mount -o remount -rw /，增加写权限，但我发现只要新增任何的文件或目录名，机器重启以后就挂了，现象就是只亮电源和插网线的等，长亮，reset键没有任何作用，好像变砖了，不知道博主有没有碰到过这种情况，有没有救活的办法？

    • 悟休

      这款的ttl接口我都不知道在哪？博主有没有相关的图？f450 4.0

    • Jarvis

      参考一下：最右边那个是GND，其他几个孔你自己试试就可以。要自己焊针。ttl可以进uboot

    • 悟休

      已经摸清楚f450 v4的ttl接口，现在进了uboot，救砖思路不清楚，想跟博主求教，有思路或者有什么文章可以参考吗？

    • 悟休

      配合你的图，从左向右，第一个孔不用管，第二个是RXD，第三个是TXD ，第四个是GND。

    • 悟休

      找到方法了。载入0uImage文件， setenv bootargs console=$(console) root=/dev/mtdblock12 ro rootfstype=jffs2 mem=$(memsize); fsload 0uImage; 强制启动 bootm 0x42000000" 谢谢博主

    • 悟休

      再次请教楼主，我目前每次启动都需要uboot手动启动，应该是之前修改了文件导致crc校验失败。您知道如何替换crc的值吗？或者有什么办法可以自动绕过crc校验？我看了一下，有人分析这个问题，可以替换crc。但照着做发现依然呢有问题。http://www.chinadsl.net/forum.php?mod=viewthread&tid=168275&extra=&page=1。我在uboot下操作md的时候，总是卡死或者制定内存地址但每次都从头输出，停滞在这里了。

    • 悟休

      楼主好，等候您多时，我现在也在尝试刷固件，我又买了只新猫，想提取固件： / # cat /proc/mtd dev: size erasesize name mtd0: 10000000 00020000 "whole flash" mtd1: 00200000 00020000 "u-boot" mtd2: 00200000 00020000 "others" mtd3: 00200000 00020000 "parameter tags" mtd4: 00200000 00020000 "wlan" mtd5: 00800000 00020000 "usercfg" mtd6: 01000000 00020000 "framework" mtd7: 01000000 00020000 "framework1" mtd8: 00600000 00020000 "dbus" mtd9: 02600000 00020000 "kernel1" mtd10: 02600000 00020000 "kernel2" mtd11: 07d00000 00020000 "plugin_data" mtd12: 025e0000 00020000 "rootfs" / # /opt/upt/framework/saf/rootfs/bin/busybox dd if=/dev/mtd2 of=/mnt/USB_disc1/rom/others.bin 4096+0 records in 4096+0 records out / # /opt/upt/framework/saf/rootfs/bin/busybox dd if=/dev/mtd3 of=/mnt/USB_disc1/rom/parameter_tags.bin 4096+0 records in 4096+0 records out / # /opt/upt/framework/saf/rootfs/bin/busybox dd if=/dev/mtd4 of=/mnt/USB_disc1/rom/wlan.bin 4096+0 records in 4096+0 records out / # /opt/upt/framework/saf/rootfs/bin/busybox dd if=/dev/mtd5 of=/mnt/USB_disc1/rom/usercfg.bin 16384+0 records in 16384+0 records out / # /opt/upt/framework/saf/rootfs/bin/busybox dd if=/dev/mtd6 of=/mnt/USB_disc1/rom/framework.bin 32768+0 records in 32768+0 records out / # /opt/upt/framework/saf/rootfs/bin/busybox dd if=/dev/mtd7 of=/mnt/USB_disc1/rom/framework1.bin 32768+0 records in 32768+0 records out / # /opt/upt/framework/saf/rootfs/bin/busybox dd if=/dev/mtd8 of=/mnt/USB_disc1/rom/dbus.bin 12288+0 records in 12288+0 records out / # /opt/upt/framework/saf/rootfs/bin/busybox dd if=/dev/mtd9 of=/mnt/USB_disc1/rom/kernel1.bin 77824+0 records in 77824+0 records out / # /opt/upt/framework/saf/rootfs/bin/busybox dd if=/dev/mtd10 of=/mnt/USB_disc1/rom/kernel2.bin 接下来，我不知道怎么能把这些bin变成可刷回去的固件，请教您了！！

    • 悟休

      格式乱，不好编辑，给您添麻烦了，总之就是执行了： / # /opt/upt/framework/saf/rootfs/bin/busybox dd if=/dev/mtd1 of=/mnt/USB_disc1/rom/u-boot.bin 这样的命令， 保存了一堆bin文件，现在不知道怎么刷回去。

    • 悟休

      主要是不知道哪里搞来f460 v4的固件，您如果有发一份给我，我刷回来应该就ok了。或者怎么从活猫里面提取？我手里还有一个活的

    • 悟休

      感谢博主帮忙，猫已救活，方法分享如下： 找台新猫，按博主方式开启telnet，进入以后。 # /opt/upt/framework/saf/rootfs/bin/busybox dd if=/dev/mtd9 of=/mnt/USB_disc1/rom/kernel1.bin 一定要插U盘，在U盘的rom目录里找到kernel1.bin文件，大小应该是38912KB，改名为vmlinuz.bin，然后找个tftp软件，把电脑IP设置为192.168.1.100，启动tftp服务端。 进入u-boot，因为是死猫，所以不会启动到系统，在命令行下输入： =>downver kernel 此时猫会自己去下载192.168.1.100 tftp服务器里面的vmlinuz.bin。但会提示文件过大，看来用dd备份出来的固件大小有差异。不过没关系。 下载WinHex，打开vmlinuz.bin，跳到文件末尾，把FFFF类似的废物都删掉，保存，文件大小会变成29701KB左右，不用那么精确。 在执行 =>downver kernel 没报错 =>reset 猫终于神奇的活了。

  • chan

    老哥 您好 请问一下我的是F650 V2.0.0P1T3GD版本 怎么获取配置文件查看宽带密码？ 超密码都是默认的可以进入设置界面

    • Jarvis

      如果知道超级管理员密码的话直接进后台进网络，网络设置里面，选哪个INTERNET开头的连接，下面会有宽带账号和密码。或者你直接进管理界面备份到配置文件到U盘，然后用我网站上的解密工具解密

  • D11

    坐标浙江宁波，已破解成功，但第一步reset后宽带识别码丢失了，光猫无法注册，打10000联系安装师傅要的，后面步骤都很顺利，感谢大神

  • gx1000

    前辈你好， 能分享个f650 4.0的固件看看吗？想学习一波~~~邮箱：skywanggg@gmail.com

    • Jarvis

      文件比较大，我传百度云了：链接：https://pan.baidu.com/s/11UCncto-2ZVAVQcmL7NW6g 提取码：6ywg

  • 7s7x

    浙江温州电信，能进行登陆telnet，但是插上光纤后，无法注册，itms无法连接，配置无法下发，只能用useradmin账号恢复出厂设置，这样一切回到原点

    • 7s7x

      没有丢失，发给你的截图可以看到有的，后来我在其他论坛查了下，同样有提到itms连不上，说是光猫被绑定，需要重新解绑再注册

    • 白

      温州的哥们 你都最后又获取到超密吗？想借鉴一下。

  • 邮文

    博主你好，我光猫是中兴F650的3.0版本，曾经修改过telecomadmin密码，登录上后使用以上方法的话并没有USB备份配置的选项，并且地区切换这些东西都已经关闭了。我曾经解锁过Telnet，现在能连上，但是用户名和密码已经被更改了，无法登录。想请教一下要咋弄

    • 邮文

      硬件版本 V3.0 软件版本 V2.0.3P1T4 区域码信息 区域码配置正常（地区：浙江地区）

    • 邮文

      (没邮件提醒吗😂我打开了这个页面才看到，回复晚了

    • Jarvis

      3.0版本的NAS有漏洞，可以直接获得配置文件，这个我考虑做个工具。

    • 邮文

      这个漏洞指的是... 我之前的软件版本是P1T2，那个时候还能用Fiddler抓包改网页端访问的目录，但是P1T4版本修改了之后再访问直接变成了空目录.

    • 邮文

      应该是电信有远程更新的 ，我没动过猫，自己升级了

  • xkx

    请问大神，中兴 F652 该怎么破？另：F652跟F650比，哪个新？我的那个F652贴着的上面显示2016年生产。

  • KeneKo

    重置用默认超密进入后，可以改桥接 但发现依然无法关闭周期上报，TR069的设置就更不能改了，因为用元素审查去掉灰色按钮修改保存后只要刷新 就会还原变成原本的设置，请问这有什么解决办法吗？

  • Fasto

    家里同款中兴F650 版本号是V2.0的，去年一冲动花了200升了300M，结果发现这个光猫还没以前那个老的好用，就一个千兆端口，自带的无线功能确实弱，而且好像还挺费电，想换桥接模式。当时也想破解来着，无奈当初教程基本需拆机，而且版本号基本是V3.0的，小白一枚虽然爱折腾但动手能力弱。无意间翻到大神的帖子，瞬间感觉找到组织了。大神如果看到评论，求指路。我自己先琢磨着试试，如果失败了，就只能麻烦运维重新设置了。

  • 吕豆豆

    为什么我型号是ZXHN F650 4.0 文件名是ctce8_ZXHN_F650(GPON_ONU) 你好我获取了配置以后解密失败。操作失败！请检查文件或型号是否选择正确。 手抽点了加密。噗，主要我还付款了。

    • Jarvis

      U盘建议用ntfs文件系统去备份，光猫其实这个备份功能有点问题，有时候备份出来的文件会莫名其妙最后面少了一些内容，导致解密失败。

    • 江

      我备份出来的文件名和你一样，telnet那一步不行，显示 Microsoft Telnet> cp /userconfig/cfg/db_user_cfg.xml /mnt/USB_disc1/ 无效指令。需要帮助，请键入 ?/help Microsoft Telnet> ?/help 命令可能是缩写。支持的命令为: c - close 关闭当前连接 d - display 显示操作参数 o - open hostname [port] 连接到主机(默认端口 23)。 q - quit 退出 telnet set - set 设置选项(键入 'set ?' 获得列表) sen - send 将字符串发送到服务器 st - status 打印状态信息 u - unset 解除设置选项(键入 'set ?' 获得列表) ?/h - help 打印帮助信息

  • 风。。。

    上海地区，中兴F650A 4.0版，用楼主的方法，无法开启telnet,还有什么方法可以破吗？

  • 陈

    大佬，我在网上找到个中兴使能工具但是华为的图标，有点不敢用了，能不能帮忙开下中兴F450的telnet,网上不少方法都没用了，就是想用超管密码进去改下NAT，开下upnp，这边维修的不给，我是湖北地区，软件版本是V2.0.3P1T4,重置没一点用

  • lovehtj

    我发给你了 好像是评论过滤了 TS_UPwd为6CD2BAB24A6E，TS_UName为user

    • lovehtj

      嗯嗯是的，无法登录，，都试过了 user，root，admin，加这个密码，各种组合

    • lovehtj

      不好意思，大佬 原来是输入错误，，刚好好的一个一个的确定性的输入，确实是这个密码，没有加密 谢谢你的回复，非常感谢

  • 马凌曙

    大神，山东F650，2.0.3P1T2，能帮忙开Telnet吗？另外我找到了那个工具，但是要工厂的License，个人不太会逆向，软件已经发到您邮箱里，希望对您有帮助。（逆向后从里面找到一个密码nE%jA@5b，和nE7jA%5m一看就是一个系列的，但是没登录成功，再挖挖说不定还有什么有意思的）

    • 马凌曙

      😂咸鱼暂停注册至九月中旬…连主页都进不去。您能帮帮忙吗？

    • 马凌曙

      半吊子用IDA去掉验证之后内存不能为read……

    • 马凌曙

      不能为read解决了，但还是： “SendSq.gch WebRecv Fail! Enter 192.168.0.1 Telnet FactoryMode Fail!”

    • 马凌曙

      也不知道是这个方法不适用还是没破解好，不行了，技术有限，只能找到这了https://pastebin.ubuntu.com/p/GJcM5RVJWz/ https://pastebin.ubuntu.com/p/5Tvzngm4pv/

  • 卡梅拉

    大神，光猫F650 硬件4.0 浙江版，V3.0.0P1T1。我在你发的网址付费进行配置文件解密，修改后然后加密，但是恢复配置后，telnet，还是不能用啊

  • 张大帅

    河南电信的中兴ZXHN F650 A(硬件3.0，软件V2.0.3P1T2），用您的办法能破解吗？会不会清除LOID？因为宽带账号没给我，我怕上不了网，我尝试用软件劫持改根目录复制文件，但看不到配置文件，telnet也是连接不上

  • 小先生

    F650 4.0因为itms注册失败能拔号但是网站全都被弹出要求注册LOID的页面，用了楼主的在线解密然后修改以下两项把“99”改成“0”、第二个把“99”改成“1”然后在用楼主的在线加密打包，复制到U盘还原系统从启后，就不会上任意网站都被弹出要求注册LOID的页面了。解密花2元，加密又花2元，共计4元就解决问题了！

  • caocao

    操作失败！请检查文件或型号是否选择正确。 ctce8_ZXHN_F650A(GPON_ONU).cfg

  • 小灰灰

    你这个工具，选择CFG文件提交后，怎么显示：操作失败！请检查文件或型号是否选择正确。

    • 爱维c

      我也遇到同样的情况，付了4块钱试了两次，却无法下载，提示未支付不知什么原因，具体内容已发邮箱联系

    • Jarvis

      看了你的邮件你的文件不完整啊，解不开的，具体情况回复你了。

  • laows2004

    河北唐山这边的电信宽带没有修改超级密码，用ne7就能直接进入，前两天还开了公网ip

  • joduskame

    桥接浙江杭州电信直接就可以改啊，我安装时候给他说了改桥接，师傅直接把账号密码贴光猫上面了，而且直接就是公网ip

    • 路过

      中兴F450 4.0 的使用那个工厂工具返回失败，没有telnet账号密码

  • johnhowe

    大神啊，我用你的方法，临时TELNET开不了，我就想知道超级密码，然后进去把路由模式改成桥接模式。我的电信设备是 设备类型 GPON天翼网关(4口单频) 产品型号 ZXHN F650(GPON ONU) 产品序列号 A0CFF5-40850A0CFF55CFF48 软件版本号 V3.0.0P1T1 MAC A0:CF:F5:5C:FF:48

  • O泡

    大神，我上咸鱼买了个10G EPON猫回来用，注册一直失败，然后找朋友的同款猫来对比了一下发现他的软件版本是V2.0.0P1T1，我的是V2.0.0P1T2所以一直不行，想请教一下怎么修改。

  • liansishen

    大佬，我是新装宽带，光猫是中兴F610，没有USB口，怎么导出文件啊？

  • LONH

    大佬，您在百度云的F650 v4.0的固件不知道怎么解压。binwalk解压之后，挂载mount jffs2文件系统后同步后的文件系统，bin文件夹是打不开的。请问怎么解压那个百度云里面的bin文件

  • 子鹰

    河南电信表示重置几次了无效。。设置和信号都没丢。。该咋样还咋样。我也是醉了

  • 的

    中心吉比特f663n3v C:\Users\Administrator>factorymode_crack.exe -l xxx open -i 192.168.1.1 version:3.1 CheckLoginAuth.gch WebRecv Fail! Enter 192.168.1.1 Telnet FactoryMode Fail! 开启失败

  • 啊

    C:\Users\Administrator>factorymode_crack.exe -l xxx open -i 192.168.1.1 version:3.1 CheckLoginAuth.gch WebRecv Fail! Enter 192.168.1.1 Telnet FactoryMode Fail! 两种命令都用了，都是开启失败

  • nathan6498

    博主，你好，不小心买了个外地的二手中兴2021款F450A4.0(已注册使用过)，现请教： (1)是不是打开telnet和改区域设置，外地网关就可以成功(再)注册的了？ (2)打开telnet时，“InitSecLvl改成3”是必须的吗？这个设置的作用是什么？ (3)能不能把打开telnet和改区域设置一起进行解密和加密？改区域设置是改哪里的呢？ (4)备份了F450A的配置，文件全名是“ctce8_ZXHN_F450A(EPON_ONU).cfg”，后缀不是“.xml”，这是正常的吗？是不是能一样的解密和加密的呢？ 麻烦你有空的时候给予指教，静候你的佳音。先谢谢啦

    • dou

      InitSecLvl 改成3 就是production模式，权限更高，不会运行什么命令都access denied，而且不会24h后自动关闭telnet

  • nathan6498

    先用的是FAT32格式的U盘，今天换了一个NTFS格式的U盘，备份出来的配置文件名后缀还是.cfg。文件全名仍是ctce8_ZXHN_F450A(EPON_ONU).cfg。不知道为什么后缀不是.xml，不是.xml就不能用你的工具完成解密的哟。大佬，给想个解决办法吧。

  • nathan6498

    是不是我搞错了？到底是“.cfg”类型的文件是加密了的，还是“.xml”类型的文件是加密了的?

  • LxnChan

    您好，我这有台F673AV2，不知道能不能破解。看您解密工具列表里面有F673AV9，请问v2和v9会有很大的区别吗？ 具体信息如下： 设备型号 ZXHN F673AV2 硬件版本号 V2.0 软件版本号 V2.2.0P1T9 谢谢。

  • nathan6498

    看来大佬转移了阵地，很久没有光顾这里了。 后来，我搞明白了。使用浏览器中的界面“管理->设备管理->备份配置”得到的是以.cfg为后缀的加密了的配置文件；而在telnet下，使用“cp”命令得到的是以.xml为后缀的加密了的配置文件。二个文件都是加密了的描述光猫配置的。之前第一次接触，什么都不懂的。

  • CC

    设备中兴F650 4.0，重庆电信，按照文章步骤操作没问题。唯一的问题就是恢复配置文件后，itms无法注册，需要找师傅重新下发配置文件。文章中没有写清楚telnet的方法，需要查找解密后的配置文件，里面有一个user的账号和ZTEG开头密码，登陆后输入cp /userconfig/cfg/db_user_cfg.xml /mnt/USB_disc1/命令就可以在U盘中找到配置文件，解密后就可以查看超级用户的密码了

  • 柠檬菌

    拿到telnet有什么方法能把loid也清空吗？我湖南的，f450v3以前都可以通过returntofactory清空光猫现在不行了

  • rsdrc

    目前卡uboot了，按住reset在ttl上提示需要upgrade.bin文件， 下面评论提供的f650v4.bin文件咋通过ttl刷入光猫鸭

    • rsdrc

      链接：https://pan.baidu.com/s/11UCncto-2ZVAVQcmL7NW6g 提取码：6ywg 这个固件怎么刷进去啊，ttl还是telnet还是web ？

86162
51

    浙公网安备 33011002014706号