★ FEATURED ARTICLE 简介这份资源聚焦电信光猫超级管理员权限的获取面向需要修改光猫桥接、端口映射或WiFi参数的家庭宽带用户与网络运维初学者。内容以中兴ZXHN F650AGPON ONU为实测对象整理出可复现的超级密码获取思路适合遇到电信光猫后台权限受限、想自行调整网络配置的读者参考。压缩包为zip格式整体约2.78MB体积轻便便于保存与离线查阅。目前已有12691人浏览学习说明该方案在同类需求中具备一定参考价值。读者可从中获得针对该型号光猫的权限获取路径、关键操作要点与验证思路减少盲目尝试的时间成本并据此完成桥接改接、路由拨号或端口转发等后续配置。需要提醒的是不同地区与固件版本可能存在差异建议结合自身设备情况谨慎操作。1. 电信光猫获取超级管理员密码为什么普通账号永远看不到那几项关键设置装完宽带那天运营商师傅留下一句“路由器背面有账号密码”然后你就拿着useradmin这类普通账号进了光猫后台。能改 Wi-Fi 名、能改 Wi-Fi 密码看起来够用了。可一旦你想做端口映射、改桥接、关掉光猫自带的拨号让自家路由器拨号、调 VLAN、看光衰数值就会发现菜单里根本没有这些入口——不是藏起来了是普通账号的权限压根不给你渲染这些页面。这就是“电信光猫获取超级管理员密码”这件事的真实需求场景不是要去搞破坏而是拿回本该属于自己的设备管理权。光猫是你家宽带链路上的第一台设备它默认用运营商下发的配置模板跑普通账号只能看不能动。超级管理员常见叫法有telecomadmin、CUAdmin、CMCCAdmin等随厂商和省份不同才有完整菜单。适合读这篇的人有三类想把光猫改桥接、用自己路由器拨号的需要做端口映射跑内网服务的以及单纯想搞清楚自家光猫到底跑在什么模式、光衰多少的。下面按“先搞懂它怎么藏 → 再动手拿 → 最后避坑”的顺序讲方法覆盖主流厂商参数和命令都能直接抄。2. 先搞懂超级管理员密码藏在哪三种主流获取路径的选型逻辑动手之前必须明白一件事超级管理员密码不是随便设的它由运营商通过 TR-069 远程管理协议下发或者固化在出厂配置里。你要拿它本质是从这三个地方之一把它“读”出来。选哪条路取决于你的光猫型号、固件版本以及你手上有多少可操作空间。2.1 路径一配置文件解密最通用成功率最高绝大多数光猫的超级管理员密码都以明文或可逆加密的形式存在一个配置文件里通常通过 U 盘备份或 Telnet/SSH 导出。拿到文件后解密密码就出来了。这条路对华为、中兴、烽火等主流厂商都适用是社区里最常被复现的方案。核心逻辑是光猫后台有个“USB 备份”或“配置备份”功能普通账号有时也能触发备份部分型号需要超管但很多型号普通账号就能备份。备份出来的是一个.cfg或.xml文件里面AdminPassword、TelecomPassword这类字段就是你要的。2.2 路径二Telnet/SSH 直读快但依赖固件没关服务部分光猫固件默认开启了 Telnet 或 SSH用普通账号或已知的默认凭据登录后直接cat配置文件或查询 NVRAM 就能拿到。这条路最快但新固件普遍关闭了 Telnet或者改了默认端口和凭据成功率在下降。2.3 路径三恢复出厂 默认密码有代价慎用把光猫恢复出厂设置超级管理员密码会回到该型号的默认值网上有各厂商默认密码表。代价是你的宽带账号、VLAN、Wi-Fi 配置全丢需要重新注册LOID/SN 认证搞不好要叫师傅上门。这条路只在前面两条都走不通、且你手上有注册所需参数时才考虑。提示优先走路径一。路径二看运气路径三当兜底。三条路的共同前提是——你得先能进光猫后台哪怕只是普通账号。选型判断表路径适用条件成功率风险配置文件解密有 USB 口或备份功能高低可逆Telnet/SSH 直读固件未关服务中低恢复出厂有 LOID/SN 注册参数高高配置全丢下面重点讲路径一因为它最稳、最可复现。3. 配置文件解密实操从 U 盘备份到读出 telecomadmin 密码这一章是全文的核心操作。我按“备份 → 导出 → 解密 → 提取”四步走每步给命令和参数说明。不同厂商的配置文件格式不同但思路一致。3.1 第一步用 U 盘触发配置备份插一个 FAT32 格式的 U 盘到光猫 USB 口进光猫后台普通账号即可部分型号需要超管见 3.4 的替代方案找到“管理 → 设备管理 → USB 备份”或“配置备份”。点击备份文件会写到 U 盘通常是e8_Config_Backup目录下的.cfg文件。如果后台没有 USB 备份入口试试直接访问隐藏 URL。华为光猫常见的是# 华为光猫隐藏备份接口在浏览器地址栏访问需已登录后台 http://192.168.1.1/html/ssmp/backup/backup.asp中兴光猫常见的是# 中兴光猫备份接口 http://192.168.1.1/getpage.gch?pid1002nextpagemanager_dev_conf_t.gch逻辑说明这些 URL 是后台菜单没暴露但实际存在的接口直接访问能触发下载或备份。参数pid和nextpage是中兴后台的页面路由参数不同固件版本可能不同访问 404 就换回菜单路径。3.2 第二步把配置文件从 U 盘拷到电脑U 盘插回电脑找到备份文件。华为的通常是hw_ctree.xml或ctce8_xxx.cfg中兴的是db_backup_cfg.xml或.cfg。拷到一个工作目录比如~/ont_work/。# 建工作目录并拷入备份文件 mkdir -p ~/ont_work cd ~/ont_work cp /media/usb/e8_Config_Backup/*.cfg ./backup.cfg ls -la逻辑说明mkdir -p确保目录存在cp把 U 盘里的备份拷过来。ls -la确认文件在、大小正常通常几十 KB 到几 MB。如果文件是 0 字节说明备份没成功回上一步换接口重试。3.3 第三步解密配置文件华为/中兴两种主流格式华为的hw_ctree.xml通常是 AES 加密的密钥在固件里是固定的社区已知。用 Python 解密# huawei_decrypt.py # 华为光猫配置文件 AES 解密密钥为社区公开的固定值 from Crypto.Cipher import AES import sys # 华为常用的 AES 密钥和 IV不同固件版本可能不同需按型号调整 KEY b1234567890123456 # 16 字节密钥占位实际按型号替换 IV b1234567890123456 # 16 字节 IV def decrypt(infile, outfile): with open(infile, rb) as f: data f.read() # 去掉可能的文件头AES 块大小 16 字节 cipher AES.new(KEY, AES.MODE_CBC, IV) plain cipher.decrypt(data) # 去掉 PKCS7 填充 pad plain[-1] plain plain[:-pad] with open(outfile, wb) as f: f.write(plain) print(f解密完成输出 {outfile}{len(plain)} 字节) if __name__ __main__: decrypt(sys.argv[1], sys.argv[2])逻辑说明华为配置文件用 AES-CBC 模式加密密钥和 IV 是固件里写死的。cipher.decrypt解密后要去掉 PKCS7 填充最后一个字节的值就是填充长度。参数KEY和IV必须按你的光猫型号替换网上有各型号的密钥表填错会解出乱码。中兴的配置文件很多是明文 XML 或简单异或直接打开就能搜# 中兴配置文件常为明文直接 grep 关键字段 grep -a -i telecomadmin\|AdminPassword\|WebPassword backup.cfg逻辑说明-a把二进制当文本处理-i忽略大小写。如果输出里有TelecomPasswordxxx这类字段xxx 就是你要的密码。搜不到说明是加密的需要先解密。3.4 第四步提取密码并验证解密后的 XML 里搜这几个字段# 在解密后的 XML 里搜超级管理员相关字段 grep -a -i telecomadmin\|CUAdmin\|CMCCAdmin\|AdminPassword hw_ctree_decrypted.xml典型输出长这样X_CT-COM_TeleComAccount UserNametelecomadmin/UserName Passwordadmintelecom/Password /X_CT-COM_TeleComAccountUserName是超级管理员账号Password是密码。拿到后回光猫登录页用这组凭据登录菜单会多出一大截。如果普通账号连备份入口都进不去替代方案是用普通账号登录后在浏览器开发者工具里找备份请求的 URL直接构造请求触发备份。或者尝试 Telnet见下一章。注意不同省份、不同固件版本的密钥和字段名会变。华为的密钥有nE7jA%5m这类已知值也有按 SN 派生的。搜不到就换密钥表重试别死磕一个。4. Telnet 与隐藏接口当配置文件备份走不通时的备用手段配置文件解密是主力但有些光猫固件把备份功能锁死了普通账号点不动。这时候试 Telnet 和隐藏接口成本低成了就省事。4.1 开启 Telnet 的常见方法部分华为光猫可以用普通账号登录后访问特定 URL 开启 Telnet# 华为光猫开启 Telnet 的隐藏接口浏览器访问 http://192.168.1.1/enableTelnet.cgi http://192.168.1.1/html/ssmp/telnet/telnet.asp开启后用 Telnet 登录# Telnet 登录光猫默认凭据常见为 root/admin 或 root/root telnet 192.168.1.1 # 登录后查配置文件 cat /mnt/jffs2/hw_ctree.xml | grep -i telecomadmin逻辑说明/mnt/jffs2/是华为光猫的配置分区hw_ctree.xml就在里面。如果cat出来是加密的用 3.3 的脚本解密。grep直接过滤关键字段省得翻整个文件。中兴光猫的 Telnet 默认端口可能是 23也可能被改成 8023 等。用nmap扫一下# 扫描光猫常见 Telnet 端口 nmap -p 23,8023,2323 192.168.1.1逻辑说明-p指定端口列表。扫到开放的就用telnet 192.168.1.1 端口连。中兴默认凭据常见root/Zte521、root/root。4.2 隐藏接口直接读密码有些固件有隐藏的 CGI 接口直接返回配置。比如华为的# 华为部分固件隐藏接口直接返回配置片段 curl -s http://192.168.1.1/html/ssmp/deviceinfo/deviceinfo.asp | grep -i password逻辑说明curl -s静默请求grep过滤。这类接口需要已登录的 Cookie所以先在浏览器登录再把 Cookie 拷到 curl 的-H参数里。不同固件接口路径不同用浏览器开发者工具的 Network 面板找实际请求。4.3 用普通账号提权读 NVRAM部分光猫的超级管理员密码存在 NVRAM 里Telnet 登录后直接读# 读 NVRAM 里的管理员密码字段 nvram get AdminPassword nvram get TelecomPassword nvram show | grep -i admin逻辑说明nvram get读单个键nvram show列全部再过滤。不同厂商键名不同华为常用AdminPassword中兴常用WebPassword。读出来是明文就直接用是密文就结合 3.3 解密。提示Telnet 这条路越来越窄新固件基本关了。如果扫不到端口、隐藏接口全 404别耗时间回 3.1 换备份思路或者考虑恢复出厂。5. 避坑与排查获取超级管理员密码时最容易翻车的 5 个点这一章是我踩过的坑和社区里高频翻车点每条按“现象 → 原因 → 解决”写。看完能省你几个小时。5.1 备份文件是 0 字节或打不开现象U 盘插上点备份提示成功但文件 0 字节或者拷到电脑打不开。原因U 盘格式不对光猫只认 FAT32不认 NTFS/exFAT或者备份接口需要超管权限但普通账号触发了假成功。解决把 U 盘格式化成 FAT32 再试。如果还是 0 字节说明该型号备份需要超管换 Telnet 路径或恢复出厂。别用大容量 U 盘部分光猫只认 32GB 以下。5.2 解密出来是乱码现象按脚本解密输出一堆乱码grep 不到任何字段。原因密钥或 IV 不对。华为不同型号、不同固件版本的 AES 密钥不同网上通用密钥不一定适用你的设备。解决先确认你的光猫型号和固件版本后台“设备信息”里看再搜对应型号的密钥。华为常见密钥有nE7jA%5m转成的字节、按 SN 派生的密钥等。实在找不到试试不解密直接strings看有没有明文残留# 不解密直接提取可打印字符串找线索 strings backup.cfg | grep -i admin\|password\|telecom5.3 拿到密码登录提示错误现象配置文件里读出的密码登录时提示用户名或密码错误。原因读到的可能是旧密码、或者字段对应的是别的账号比如AdminPassword是普通管理员TelecomPassword才是超管。也可能密码里有特殊字符被转义了。解决把 XML 里所有含Password的字段都试一遍注意amp;这类 XML 转义要还原成。如果都不对可能是 TR-069 远程改过密码配置文件是旧的需要重新备份。5.4 改桥接后上不了网现象拿到超管密码改成桥接自家路由器拨号结果拨不上或拨上没网。原因桥接需要同时改 VLAN 和绑定端口只改桥接不改 VLAN或者 VLAN ID 填错都会断网。部分省份还绑定了 MAC。解决改之前把原配置截图存好VLAN ID、802.1p、绑定端口。桥接后路由器里填的 VLAN 必须和光猫原来一致。拨不上就改回路由模式别硬扛。MAC 绑定的情况把路由器 WAN 口 MAC 改成光猫原来的 MAC。5.5 恢复出厂后注册不上现象恢复出厂超管密码是默认的了但宽带注册不上上不了网。原因恢复出厂清掉了 LOID/SN 认证信息光猫无法在运营商侧注册。解决恢复前必须记下 LOID逻辑标识或 SN。恢复后在注册页面填回去。如果没记打客服要或者看光猫背面标签。这一步没把握就别做叫师傅上门更稳。注意所有操作前把光猫当前配置完整截图或备份。后悔药就是那份备份。6. 进阶不改桥接也能跑内网服务的两个技巧不是所有人都需要改桥接。如果你的目标只是端口映射、跑个内网服务其实有更省事的路子不用动光猫的拨号模式也就避开了 5.4 和 5.5 两个大坑。6.1 用超级管理员做端口映射保留路由模式拿到超管密码后进“安全 → 端口映射”或“NAT → 虚拟服务器”把内网服务的端口映射出去。这样光猫继续拨号你的服务也能被外网访问。参数上注意三点外部端口别用 80/443运营商常封内部 IP 填你服务器的固定 IP协议选 TCP/UDP 按需。# 验证端口映射是否生效从外网或手机流量访问 curl -v http://你的公网IP:外部端口 # 如果返回你的服务响应说明映射成功逻辑说明curl -v看详细连接过程能连上并返回内容就对了。连不上先查光猫防火墙有没有放行该端口再查服务器本机防火墙。6.2 用 DMZ 主机绕过逐条映射如果服务多、端口杂逐条映射麻烦可以把超管后台里的 DMZ 主机设成你的服务器 IP。所有外网请求直接转发到这台机器由服务器自己的防火墙管。参数建议值说明DMZ 主机 IP服务器固定 IP别填光猫自己的 IP启用状态开启用完可关降低暴露面配合服务器本机防火墙DMZ 后全靠本机防火墙兜底提示DMZ 等于把服务器完全暴露服务器本机防火墙必须配好只放行必要端口。跑完服务记得关 DMZ。6.3 验证与回退改完任何配置先在本机curl测内网通不通再用手机流量测外网通不通。不通就回退到改之前的截图配置。我一般会把改前的配置导出成文件存着命名带日期比如ont_backup_20250101.cfg出问题直接恢复。这套流程我用了几年最深的教训是动手前先备份改配置一次只改一项改完立刻验证。有次我图省事桥接和 VLAN 一起改结果断网两小时最后靠恢复出厂加重新注册才救回来。从那以后任何光猫操作我都先截图、再备份、后动手。希望帮到你。本文还有配套的精品资源点击获取
阅读完成 · 觉得有帮助？
