通过内网攻击光猫

光猫的通过管理后台，很多人以为只有宽带师傅才能碰。内网实际上，攻击光猫只要你能接入它的通过局域网，不管是内网Wi-Fi还是有线，默认密码往往就是攻击光猫那几组——admin/admin、user/user、通过telecomadmin/nE7jA%5m。内网运营商装完机基本不改，攻击光猫改了也常贴在设备底部。通过这不是内网漏洞，是攻击光猫懒。

我去年在朋友家试过一次。通过他家的内网电信光猫是华为HS8145V，我连上Wi-Fi，攻击光猫浏览器敲192.168.1.1，输入光猫背面印的useradmin账号，进去了。界面很简陋，但能看到所有连接设备、宽带账号、甚至TR-069远程管理地址。普通用户权限看不到拨号密码，但能改Wi-Fi名和密码，能重启，能看日志。够了。

真正有意思的是从内网发起的攻击。光猫本身跑的是精简Linux，很多型号的固件里藏着后门或者未公开的调试接口。比如某些中兴F660，telnet端口23是开着的，默认账号root/root或者root/Zte521。你从内网telnet过去，直接拿到shell。进去之后cat /etc/passwd，cat /proc/cpuinfo，看看它跑什么服务。有个叫“tr69”的进程常驻，那是运营商远程管理的通道，配置文件里明文存着ACS服务器的URL和认证密码。拿到这个，理论上可以伪装成光猫去连运营商的TR-069服务器，下发配置——改DNS、开端口、甚至刷固件。

更直接的做法是ARP欺骗。内网里用arpspoof把网关指向你的机器，然后跑sslstrip或者dnschef，把光猫的升级检查请求劫持到一个假服务器。光猫会定期去访问一个HTTP地址下载配置文件，你返回一个恶意配置，里面塞个反弹shell的脚本。很多老固件不校验签名，直接执行。我见过一个案例，某省联通的光猫被批量改了DNS，用户访问银行网站跳转到钓鱼页。源头就是内网有人用树莓派跑了这个套路。

当然，不是所有光猫都这么脆。新一点的型号开了Secure Boot，固件加密，TR-069走HTTPS并且双向认证。但运营商采购的设备批次混乱，同一个型号不同年份的固件安全性天差地别。你家的光猫如果是2018年之前装的，大概率能玩。

防御手段其实很土。第一，改掉默认的管理员密码，别用背面贴的那个。第二，进后台关掉TR-069远程管理，虽然运营商会打电话问你为什么掉线。第三，把光猫的Wi-Fi密码设复杂点，别用纯数字。第四，如果光猫支持，把管理界面限制为仅有线访问。做不到？那就把光猫桥接，用自己的路由器拨号，让光猫只做光电转换。运营商的远程管理就够不着你的内网了。

我写这些不是教你搞破坏。光猫是你花钱买的或者租的，你有权知道它有多脆弱。运营商不愿意告诉你这些，因为远程管理是他们的运维命根子。但命根子攥在别人手里，你的内网就是别人的后花园。下次宽带师傅来装机，你看着他输那串telecomadmin密码的时候，记下来。然后自己进去看看，里面有多少东西是你不知道的。