前言

上文里拿到root shell后，我自然不满足于此，我还非常好奇整个光猫到底在做什么事情？为什么以前的光猫仅仅只是猫的功能，而现在的光猫要自带无线路由功能，且不允许进行桥接？

整个光猫运行环境对渗透测试非常友好，自带netcat、curl、buybox版sh等，通过nc和curl可以轻易的将路由器里的文件拉取到本地。（从另外一个角度来看，这都是后门服务的功劳）

在探索的过程中我就遇到了上文提到的一个坑，本地telnet断开后，光猫里对应的服务端不一定会及时对已关闭的会话进行清理，这就造成一段时间内，连不上telnet。

这种小问题很容易解决，写一个一句话循环即可：while true; do telnet 192.168.1.1; sleep 1; done。

但很快，又遇到了上文提到的第二个坑：telnet服务端的backlog满了，内核直接静默丢掉了SYN。

除了重启光猫外，没有任何办法可以恢复telnet的连接。

于是，我便基于在此期间拉取下来的光猫固件里的文件，进行分析，看看是否存在其它的漏洞可以让我继续访问…