磊科235W/磊科236W疑似被“入侵”的半永久解决方案

2015-11-30 10:10| 查看: 4714| 评论: 86|原作者: realjack|来自: 无线论坛

故障现象为后台登陆密码无法登陆，网络流量异常，断网重新上传配置文件后发现CPU占用极速升高，约3分钟后后台登陆密码再次被非法篡改。故基本可以判断为利用固件自身的调试端口（所谓的后门）来达到“入侵”直连外网 ...

磊科235W/磊科236W被“入侵”的半永久解决方案！

相关固件及工具下载链接: http://pan.baidu.com/s/1eQkCvvk 密码: imqp

为避免口水战，本贴旨在分享和讨论如何解决被“入侵”的问题，至于原因及入侵方式本贴不作任何探讨，谢谢！

为何称为“半永久解决方案”？因为可能还有为止的后门端口，故不能保证下文所提到的方法能彻底根除这个问题。官方如果出修正固件了那最好，虽然1.8版做的很渣，但万一有新版本了呢？

本人因网络原因，24小时接入互联网的分别是一台235W和2台236W。

235W因需要远程访问监控设备开启了DMZ，未发现被入侵。
其中一台236W是作为二级路由使用也未发现被入侵。
另一台236W使用PPPOE拨号的方式直连外网，发现被入侵。

故障现象为后台登陆密码被非法篡改，网络流量异常，断网重新上传配置文件后发现CPU占用极速升高，约3分钟后后台登陆密码再次被非法篡改。故基本可以判断为利用固件自身的调试端口（所谓的后门）来达到“入侵”直连外网的该系列路由器的目的。

解决方案：

本坛已有大神总结出来，本人这里引述一下。

方案一：

如下图所示：开启路由器的“DMZ”功能，填入一个内网不使用的IP地址即可。如果你要使用DMZ这个功能请看方案二。

方案二：（推荐使用此方案）

如下图所示：开启路由器的“虚拟服务”功能，将目前已知的后门端口“5357”和“53413”添加进去，并指定到一个内网不用的IP上即可。相信很少有人会用到这两个端口。这边我直接把UDP和TCP的访问都干掉了。

以上两种方法均测试超过72小时，未见再次被“入侵”的情况！

操作步骤：

①断开路由器与外网的连接。
②重启路由器，使用TFTP工具中断路由器启动，进入“miniweb”点击“restore default nvram values”然后点“continue”就行了！中断启动和进入miniweb的方法请参见本人的刷机贴（http://forum.anywlan.com/thread-347337-1-1.html 视频2分05秒那边开始看）
③重新开机登陆路由器后台，此时的账户密码是默认的“guest”和“guest”，选择升级固件，重新上传原版固件。这里说明一下因各大神制作的的CFE不一样，附件中的固件仅支持使用我刷帖内提供的CFE和固件刷成功的机器。其它方法刷的机器因不知道CFE是否适配请自行甄别是否可以使用。
④如果是非正版机，请再次中断启动进入“miniweb”清除一下NVRAM，否则可能会有莫名其妙的问题。
⑤导入之前未被入侵时保存的配置或重新设定参数。

接入外网前请务必使用上述提到的方案先做好映射之后再接入外网，否则可能前功尽弃。

答疑：

Q1：为何一定要重刷固件？
答：因不知道入侵的程度如何，推断不出固件的受损情况。之前已有坛友断网恢复出厂设置之后，并添加了端口映射，接入外网后再次出现故障。

Q2：为何登陆路由后台刷而不使用TFTP工具直接刷入新固件？
答：考虑到玩机的坛友水准有高有低，保险起见还是web刷入较为安全，如果有能力的坛友推荐使用TFTP工具刷入固件，这个方法是最干净，最斩草除根的方法！

Q3：无法中断启动怎么办？
答：针对部分半砖机可能会出现无法中断启动的情况，可以使用Telnet命令来清空和重建NVRAM，具体操作方法参考本人的刷机贴这里不再赘述。

具体命令如下：每执行一步稍作等待再执行下一步！
mtd -r erase nvram
nvram commit

reboot

本文只是总结经验，抛砖引玉，欢迎探讨！

RealJack
2015.11.29