本文为看雪论坛优秀文章

看雪论坛作者ID：p1yang

这里就先不放设备照片了，诸位可以自己在该页面寻找下设备型号。

 

这款路由器是通过云端进行数据传输的，即 摄像头 = 云端 = 手机，无web页面，且并未发现摄像头与手机直接通信。

摄像头

前边这个黄色印字的pcb我并没有查出来具体是做什么的，但是我看这个设备介绍是有高清夜视能力的，我猜是这么个功能，不重要。

 

 

使用了上海富瀚的FH8626V100，下面是各种文档，详细文档我没找到。

https://www.fullhan.com/index.php?c=article&id=221

https://www.fullhan.com/uploads/2021/11/163669725327888.pdf

https://blog.csdn.net/xue_nuo/article/details/125717256?utm_medium=distribute.pc_relevant.none-task-blog-2~default~baidujs_title~default-0-125717256-blog-122374192.pc_relevant_multi_platform_whitelistv2&spm=1001.2101.3001.4242.1&utm_relevant_index=3

https://blog.csdn.net/xue_nuo/article/details/122374192

flash 为H25S64，从查出来的资料来看是8m的，很遗憾的是我的ch341a并不支持这个型号的闪存，所以提取写入固件操作也办不到。

 

只能吧信息放到这了，原谅我硬件知识的匮乏。

固件

这里因为flash型号的问题我没办法从固件提取，但是官网可以直接获取，且并没有加密。

squashfs 文件系统，但解包出来的文件系统在cpio文件中。

 

但涉及到一部分的文件还是在squashfs-root中。

 

 

只有一个root账户默认开启。密码并没有爆破出来。

 

通过rcS文件的分析和对uart的输出信息来看，主要为两个服务 noodles 和apollo。后边会有分析。

文件格式为32位arm小端序

uart

该设备有uart接口，并且将每个用处都标注出来了。但是是被堵上的，需要将杜邦线焊接上去。

波特率为115200，tenda好多设备都都是这个。

 

下面是通过打印获取到的一些信息。

这里理论上摁E可以不使用自动启动，但我没有成功。

linux内核

可以看到cpu相关的sdk。 

两个服务的启动。noodles 和 apollo，前面提到过。

 

noodles监听了1300端口，但我并没有找到任何关于这个服务的相关信息。

 

apollo应该是apache apollo服务。

Apache Apollo是一个代理服务器，其是在ActiveMQ基础上发展而来的，可以支持STOMP, AMQP, MQTT, Openwire, SSL, and WebSockets 等多种协议。 

https://www.freesion.com/article/41891296353/

之后尝试逆向分析，先挖个坑。

看雪ID：p1yang

https://bbs.pediy.com/user-home-934060.htm

*本文由看雪论坛 p1yang 原创，转载请注明来自看雪社区

# 往期推荐

1.Android APP 漏洞之战——WebView 漏洞详解

2.uds诊断协议-逆向题 WP

3.CVE-2018-18708 TENDA缓冲区溢出漏洞

4.使用AFL++复现历史CVE

5.CVE-2018-8453提权漏洞学习笔记

6.巧解一道CTF Android题

球分享

球点赞

球在看

点击“阅读原文”，了解更多！

原文始发于微信公众号（看雪学苑）：Tenda摄像头分析