★ FEATURED ARTICLE 简介面向中国移动吉比特H5-9光猫用户教程针对普通用户无法进入超级管理员后台的痛点整理了一套通过特定URL登录、启用telnet服务、修改设备配置的完整方法。文档覆盖从初始登录到修改CMCCAdmin账号密码、管理telnet开关及端口、调整Telnet用户凭据再到配置桥接模式等常见需求每条命令均附有说明便于对照执行。资源为单个docx文档体积仅184KB内容紧凑、无冗余适合有一定网络基础并希望在合规前提下提升光猫可控性的用户研读。目前该资源已有12805人学习下载其操作思路和命令行示例对排查光猫后台限制、恢复管理员权限具有直接参考价值。需要注意文中强调操作前应评估风险并遵守服务条款避免因误操作导致网络异常建议在必要时结合官方支持谨慎实践。1. 光猫H5-9的超级管理员权限不只是为了删后台拿到中国移动吉比特H5-9光猫绝大多数人第一反应是能用就行但当你需要改桥接、关Wi-Fi、调QoS或者彻底关掉TR069远程管理时普通用户登录进去看到的那个界面就是个黑匣子——所有关键菜单都被移动的定制固件藏掉了。这篇教程做的事很简单通过两个隐藏的HTTP接口打开telnet通道再借一组默认的管理员口令进入底层Linux shell用sidbg命令直读光猫的配置文件把超管权限真正拿在手里。整个过程不需要拆机、不需要TTL线、不碰固件文件只要你能打开浏览器和命令行窗口。适合两类人一是家里有公网IP需求、必须把光猫改成桥接模式的自助折腾党二是做运营商装维或者弱电工程、需要批量调试同型号光猫的从业者。注意一点这个方法依赖移动固件里预留的调试接口理论上每个地区固件版本有差异但不影响整体流程。2. 打开telnet通道两条URL入口与Windows客户端启用2.1 先别急着连线确认光猫型号与当前固件状态H5-9在不同的省份批次里硬件版本几乎一致但软件版本可能有差异体现在web管理界面的菜单布局和隐藏接口的可用性上。动手之前先用光猫背面的普通账号登录web管理页路径一般是高级设置或网络找到设备信息或状态页把软件版本号和硬件版本号记下来。这一步的意义在于如果后面两条URL都打不开telnet配置页大概率是固件封掉了调试入口这时候再去考虑其他渠道否则在错误的方向上反复试只会浪费时间。我一般会把光猫完全断电重启一次等光信号灯变绿、PON灯常亮之后再开始操作。原因很简单——光猫开机时会把远程管理通道里的配置下发任务跑一遍如果之前被装维远程改过设置某些调试开关可能在开机后才被恢复默认值。稳定状态下的设备后面的每一步成功率才高。2.2 方法一一条带参数的URL直接开启telnet服务确认设备状态正常后用浏览器打开http://192.168.1.1/usrCMCCAdminpswaDm8H%25MdAcmd1telnet.gch这条URL的逻辑并不复杂usr参数传入的是管理员账号名psw传入的是URL编码后的密码%25是百分号的转义实际密码是aDm8H%MdAcmd1表示执行开启命令最后的telnet.gch是光猫web服务的一个CGI动态页面入口。浏览器访问这个地址时光猫内部会把参数交给对应的处理函数直接把telnetd守护进程拉起来。页面刷新后如果看到一片空白或者提示OK说明命令已经进去了。注意这条URL里的账号密码对是移动内部通用的出厂调试凭证如果你之前通过web管理界面改过CMCCAdmin的密码这个URL会失效。此时也不要慌先试方法二。2.3 方法二从Web配置页手动开启telnet开关方法二更像是正规军路径——从光猫web后台的隐藏页面直接改配置项http://192.168.1.1/getpage.gch?pid1002nextpagetele_sec_tserver_t.gch访问后能看到一个telnet服务配置界面里面有启用telnet服务允许LAN端访问等选项勾选启用并保存即可。如果这个页面提示404或者无法显示说明固件把这页也删掉了回到方法一用url参数注入的方式开。我的建议是两条都试一遍先方法二后方法一哪个能打开用哪个。方法二的优势是它会连带把防火墙规则和LAN口访问都配置好方法一是纯命令注入后续还要自己确认端口开放情况。注意telnet.gch这个接口一旦开启成功光猫会一直监听23端口除非重启光猫或者手动关闭。如果你只是临时用一次操作完记得把telnet关掉降低被内网其他设备扫描到的风险。2.4 Windows 10/11启用telnet客户端别在连接时才发现没有这个命令很多人走到telnet 192.168.1.1这一步命令行直接提示不是内部或外部命令。这不是光猫的问题是Windows默认不装telnet客户端。打开控制面板 → 程序 → 启用或关闭Windows功能勾选Telnet客户端确定后等它装完。这一步装的是微软的telnet命令行工具和光猫没有任何关系哪怕你最后不折腾光猫了这个功能留着也不占多少资源。Windows 11的界面路径略有不同但搜索启用或关闭Windows功能一样可以找到。装完在cmd里输入telnet试一下能显示Microsoft Telnet提示符就说明客户端就绪。这里有个小经验cmd窗口里复制粘贴命令时粘贴快捷键是右键而不是CtrlVtelnet会话里同样如此。很多人第一次进telnet后输入密码没反应其实是Windows的telnet客户端默认不回显密码输入光标停在原地不动不代表键盘没生效。3. telnet登录与配置读取sidbg命令的读法3.1 登录telnet账号密码与回显的玄学telnet客户端就绪后命令行执行telnet 192.168.1.1连接建立后login提示符出现输入CMCCAdmin回车密码提示符下输入aDm8H%MdA回车。注意两个细节第一密码输入时屏幕不会显示任何字符包括星号这是正常的第二不要重复输入输完直接回车。之所以说这块有玄学是因为不同批次固件的登录欢迎语不一样有的会显示设备型号和固件版本有的只显示BusyBox提示符。不管显示什么只要能进到/ #或者Movistar-Fiber #这类提示符就算成功了。如果提示Login incorrect检查一下密码是否输对特别注意%字符在telnet会话里和URL里不一样——URL里是%25编码telnet里直接输原始字符%。登录成功后先执行一条最简单的命令确认shell权限sidbg 1 DB p DevAuthInfo3.2 解读DevAuthInfo表账号密码全部加密时的排查思路执行上面的命令后会输出一张XML格式的配置表结构大致如下Tbl nameDevAuthInfo RowCount2 Row No0 DM nameViewName valIGD.AU1/ DM nameEnable val1/ DM nameIsOnline val0/ DM nameAppID val1/ DM nameUser val******/ DM namePass val******/ DM nameLevel val1/ /Row Row No1 DM nameViewName valIGD.AU2/ DM nameEnable val1/ DM nameIsOnline val0/ DM nameAppID val1/ DM nameUser val******/ DM namePass val******/ DM nameLevel val2/ /Row /TblRowCount2说明这张表里有两组账号No.0是普通管理账号Level1No.1是超级管理员账号Level2。但User字段和Pass字段的值显示为******这是固件对敏感字段的脱敏处理策略正常现象不代表数据丢了。这里需要区分两种情况如果你的H5-9固件版本较老可能直接显示明文用户名和密码比如valCMCCAdmin这种那可以直接记下来用。如果显示******也别急着去破解第4章会讲怎么用DB set命令直接改这组凭据绕过加密读取这一步。Level字段才是关键Level2的账号才是真正拥有完整配置权限的超级管理员普通登录web界面看到的是Level1账号的权限范围。3.3 列出所有配置表与常用表定位如果你想把光猫的配置摸个底可以用sidbg 1 DB p all这条命令会把光猫当前运行的所有配置表全部倾倒出来输出量很大建议配合more或者重定向到文件再看。实际操作中p all输出几百行是常态而且表名不是直观的英文单词需要一点经验才能定位到自己想要的那张表。我自己常用的表其实就三张DevAuthInfo管账号密码、TelnetCfg管telnet服务开关、TelnetUser管telnet登录的账号和密码。后面配置桥接时需要改Wan相关的表但那是另一个话题第5章会单独说。先执行sidbg 1 DB p TelnetCfg确认一下TS_Enable和Lan_Enable两个字段的值。TS_Enable为1表示telnet服务本身已启用Lan_Enable为1表示LAN口可以访问telnet端口。如果方法一或方法二执行成功这两个值应该都是1如果有一个是0说明你之前的URL注入只启动了服务但没开放端口访问或者反过来。这个命令也用于后续排查为什么telnet连不上、连接超时回来查这张表是最快的方式。4. 修改超管账号密码与telnet服务参数把主动权拿回来4.1 修改CMCCAdmin密码set命令的索引含义前面看到DevAuthInfo表里有Row No.0和Row No.1两行DB set命令里的索引数字就是对应这里sidbg 1 DB set DevAuthInfo 0 Pass aDm8H%MdA这条命令的意思是把DevAuthInfo表中第0行No0记录的Pass字段设置为aDm8H%MdA。如果你是想把超级管理员密码改成自己的把末尾的密码换成你想要的字符串即可sidbg 1 DB set DevAuthInfo 0 Pass MyNewPass2024同样改用户名也走相同结构sidbg 1 DB set DevAuthInfo 0 User CMCCAdmin注意索引不能写错第0行对应的是Level1的普通管理员账号第1行才是Level2的超管。但不同地区固件里两行的排列顺序可能与默认不一致稳妥的做法是先执行一次sidbg 1 DB p DevAuthInfo确认Level字段与Row No的对应关系再改。改错行的后果是普通登录密码变掉而超管没变到时候web登录的口令对不上反而制造混乱。到这里你应该理解了sidbg这个工具本质上是光猫固件内置的数据库命令行接口DB p是读取printDB set是写入set所有web管理界面上的选项几乎都能在后台用这类命令改到。这比在web页面上点来点去高效得多也方便脚本化批量处理。4.2 修改telnet独立账号TelnetUser表的特殊之处DevAuthInfo表里的账号管的是光猫Web管理界面和telnet的公共认证而TelnetUser表是专门给telnet服务独立使用的认证信息两张表互不干扰。修改telnet专用账号的命令如下sidbg 1 DB set TelnetUser 0 Username root sidbg 1 DB set TelnetUser 0 Password admin sidbg 1 DB set TelnetUser 1 Username root sidbg 1 DB set TelnetUser 1 Password admin4.3 保存修改不save的后果非常现实命令敲完如果不执行保存光猫一旦重启所有修改全部打回原形sidbg 1 DB save这条命令把当前运行配置写入到ROM中持久化存储。光猫的配置机制和其他嵌入式设备一样运行时的修改放在内存里RAMsave之后才落入Flash。很多第一次折腾的人改完密码、关完远程管理觉得万事大吉结果光猫半夜自动重启一次醒来发现超管密码又变回出厂值telnet也登不进去了——就是没save导致的。建议的顺序是所有DB set命令执行完毕后先逐项DB p确认修改结果确认无误后再统一save避免改了第一项就保存后面某项改错了又要重新来。整个操作页面退出前务必看着终端输出success字样再关机断电。5. telnet连接失败与配置丢失五个真实踩坑记录5.1 现象telnet 192.168.1.1一直卡在正在连接最后超时原因光猫的telnet服务根本没起来或者Lan_Enable被关闭。这是最常见的情况尤其是用方法一URL注入后部分固件版本只启动了服务但没放行端口。解决先检查TelnetCfg表的状态sidbg 1 DB p TelnetCfg如果TS_Enable等于0执行sidbg 1 DB set TelnetCfg 0 TS_Enable 1 sidbg 1 DB set TelnetCfg 0 Lan_Enable 1 sidbg 1 DB save5.2 现象telnet能连上但输入管理员账号后提示Login incorrect原因DevAuthInfo里的密码与当前telnet服务用的密码不一致。H5-9的telnet认证走的是独立链路不是简单的拿DevAuthInfo里的值去比对。解决用TelnetUser表直接改出一个明确的账号密码避开不确定性sidbg 1 DB set TelnetUser 0 Username root sidbg 1 DB set TelnetUser 0 Password admin sidbg 1 DB save然后再连接时用root/admin登录。5.3 现象sidbg命令执行后提示command not found原因当前登录的shell不是BusyBox的完整环境某些精简固件把sidbg从PATH里摘掉了或者登录用户权限不够。解决输入完整路径/bin/sidbg试试如果依然不行检查当前用户是否为超级管理员级别提示符出现#不是$。如果因为之前改DevAuthInfo改错了账号级别用出厂恢复按钮把光猫复位后再重新操作一把。这个操作会清掉所有配置但换来可重复的基础环境。5.4 现象新密码设置完毕后WEB登录页面依然提示密码错误原因浏览器缓存的旧session没有清理光猫返回的还是登录前的401状态页。另外光猫web管理进程对密码修改是即时重新加载的但session cookie可能还带着旧的认证信息。解决强制刷新CtrlF5或者换一个无痕窗口重新登录。还不行就用DB p DevAuthInfo看一下Pass字段是否真的写入成功——有些固件版本对Pass字段的写入要求是纯数字或字母组合带%这类特殊字符会被过滤掉。5.5 现象全部配置完成后重启光猫所有修改全部丢失原因保存流程没走完整。前面强调过DB save必须执行但还有个隐藏陷阱——部分固件版本要求save之前先执行一次sidbg 1 DB p把配置加载到内存之后save才会把完整数据落盘。解决养成一条固定流程——改配置→DB p验证→DB save→再DB p一次确认。别急着断开终端看到新值仍然存在再收工。6. 配置桥接模式的正确姿势从Internet连接到VLAN透传超管权限拿下来的真正实战价值在改桥接时最能体现。如果你家里有软路由、想用自己的路由器拨号就必须让光猫从路由模式改成桥接模式把拨号这件事交给后面的设备。先用telnet或者web登录进去到网络→宽带设置页面找到Internet连接的WAN连接条目。这里有个必须做的动作把当前所有Internet连接的VLAN ID拍照记录下来。常见的移动宽带配置里上网连接的VLAN ID可能是10、100之类的数字IPTV连接是另一个ID通常是85或别的不要弄混。记录完后把Internet连接删除新建一个连接封装类型选桥接BridgeVLAN ID填原来上网用的那个值比如连接名称: 1_INTERNET_B_VID_10 封装类型: Bridge VLAN ID: 10 绑定端口: 1,3,4这里的绑定端口直接决定了你的路由器接在光猫哪个LAN口上能拨号成功。一般建议LAN1口留给主路由器LAN2口如果是IPTV专用口就不绑定LAN3和LAN4按需分配。选错端口或者漏填VLAN ID的后果很直接——路由器PPPoE拨号一直报678远程计算机无响应或者认证超时。桥接配置完成后路由器接好线填入宽带账号密码拨号。账号密码是装维师傅留下的那组不是光猫后台的登录密码别搞混。改桥接这件事算是光猫折腾里回报最高也最考验耐心的一环。从那以后我每次拿到一台新光猫都会走一遍固定流程先拍下当前配置和VLAN ID再开telnet改密码再动桥接。强制自己每次操作都留备份设备进不去管理界面时也有后悔药。希望这篇笔记能帮你少走几步弯路。本文还有配套的精品资源点击获取
阅读完成 · 觉得有帮助？
