从IDOR到Root权限：H3C光网络终端固件逆向与权限提升实战

本文將深入探讨H3C光网络终端的固件逆向过程以及如何实现权限提升，从IDOR（Insecure Direct Object References，不安全直接对象引用）漏洞入手，逐步获取超级管理员密码，并最终获得系统Root权限。我们将详细解析每一步的操作，并强调安全操作的重要性。

首先，我们需要开启Telnet功能。由于该设备存在权限验证漏洞，普通用户登录后可以访问隐藏的Telnet开启页面。操作步骤如下：

1. 连接光猫的WiFi或网线。
2. 在浏览器中访问http://192.168.1.1/。
3. 使用光猫背面贴纸上的普通用户账号密码登录。
4. 登录成功后，在浏览器地址栏输入http://192.168.1.1/cgi-bin/telnet.asp并回车。
5. 在页面中勾选“启用Telnet”，点击确定。

接下来，我们将获取Web超级管理员密码。开启Telnet后，我们首先需要登录到Telnet界面，使用硬编码的凭证登录（用户名: admin，密码: admin）。然后执行命令cat /tmp/ctromfile.cfg | grep CUAdmin，查看内存中的明文配置。输出结果中，web_passwd引号内的即为超级管理员密码。

第三步，我们将获取系统Root权限。这一步是最关键的部分。系统中的admin用户权限很低，但发现user用户在底层Linux中对应的是UID 0 (Root)，且密码与Web普通用户密码相同。在Telnet窗口中输入su user，并输入光猫背面贴纸上的user密码。如果提示符变为#，则表示你已经获得了完整的Root权限。

最后，我们将移除TR-069。TR-069是一种远程管理协议，移除它可以阻止运营商远程下发配置或修复故障。但请注意，这一操作存在风险，可能导致设备无法正常工作。因此，在执行此操作前，请确保你了解所有潜在后果，并自行承担风险。自己寻找按钮的HTML tag去除disable解除限制（被限制只能这样说）。