2026 年 8 月 2 日 现在，让我先用免责声明开个头：……并且习惯这个小家伙，因为您可能在这篇文章中会看到它几次 :')。为了继续我在硬件黑客领域的笨拙探索，我在 Facebook Marketplace 上从一个随机的家伙那里买了一个低端的 10 美元 TP-Link TL-841N(EU) 路由器，这是在……附近的购物中心进行的一笔激动人心的高风险交易。我进行这种大胆交易的意图是练习拆解 IoT 设备的整个过程，以便对其进行捣鼓，访问调试日志，可能获得 root shell，练习各种类型的固件提取（通过 UART 和通过片上闪存），甚至在文件系统中浏览以寻找将来潜在的安全漏洞。以下是迄今为止的旅程简要概述： 1. 破解它：找到 UART 并连接 2. 转储固件（方法 1. - UART 和 tftp） 3. 转储固件（方法 2. - 片上 flashrom 芯片提取） 4. 解压根文件系统 5. 观察 - 初步窥探/分析 等待结束，发现之前拥有者（已删除）的各种明文、硬编码凭证在这个设备上能找到什么……其中之一甚至在完全“重置路由器”后仍会保留。是的，有点……不太好？让我们深入研究。 1. 破解它：找到 UART 并连接 我开始通过搜索路由器型号在 FCCID 上查看其数据表，以获取有关 PCB、电压水平和板上可用芯片的信息。打开它并找到很好的标签化的 UART 端口以进行串行/调试接口访问是直接的，唯一的怪事是我发现闪存位于电路板的底面 - 型号为 GD25Q64CSIG（数据表）。在外壳路由器上找到 UART 端口（右图的四个“红绿灯”孔）如果您的设备没有这么友好地标记，您也可以在启动时使用万用表探测每个怀疑的 UART 端口，以确定哪个引脚是哪个 - 设备的 TX 引脚在启动过程中应具有波动的电压（因为它以串行 1 和 0 的形式传输各种启动日志，这与电压波动对应），而 GND 引脚应为 0V。 启动时探测怀疑的 UART 引脚，直到我找到一个具有波动电压的引脚（即对于我的路由器而言，不是标准的稳定 3.3V 或 0V），表明它很可能是 `TX` 端口。 我可靠的阿里巴巴 USB-to-UART 转接器（我检查过确认支持 3.3V 和 5V 输出，因此我们不会烧坏任何东西）有以下引脚配置/线缆颜色： # 四色杜邦端子接线 红色：5V 黑色：GND 绿色：TX 白色：RX 所以，我把 USB GND 连接到路由器的 GND 端口（或者可以触及电路板上的接地金属），USB RX 连接到发现的路由器 TX 端口，USB TX 连接到路由器的怀疑 RX 端口（可以通过尝试剩下的两个引脚，直到您成功输入为止，一旦连接就猛敲键盘）。我把它焊接在一起以获得更好的/持久的连接，和即插即用的功能 😜。 焊接在 `GND`、`RX` 和 `TX` 引脚上以无损访问调试接口！ 一旦我确认我通过 picocom -b 115200 --logfile bootlog-tplink.txt /dev/tty.usbserial-1210 识别了 /mnt/dev 设备并连接成功（使用通用波特率115200），我们可以看到我们再次进入了 root shell！ 太容易了 😅。 （我还尝试将我的手机连接到生成的 TP-Link Wifi 网络，这生成了上面看到的额外日志）通过其中一台路由器的 LAN 端口直接连接我的计算机，我们可以获得一个 IP 并如预期访问管理员控制台：家，甜蜜的家……但我们该如何进入？ 2. 转储固件（方法 #1 - UART 和 tftp） 现在，我可以查看和导航文件系统，我想转储并将其传输到我的本地设备以进行一些初步分析！ 在 /proc/mtd 列出闪存分区，以及其他一些挂载详细信息，给了我们一个好的起点： 路由器配置的内存分区的初步详细信息 准备我们的接收 TFTP 服务器 为了我们可以转移固件文件，我在我的 Mac 上安装并启动了 tftp-now 服务器（通过 brew，因为我使用的是苹果硅）。 注意：请确保在主目录中创建一个文件夹， 与您从路由器传输文件的路径相对应（对我而言，是从 ~/var），否则当 tftp 客户端尝试将远程文件放置在您的计算机上时，您会收到“没有此类文件存在”的错误（因为它在上传该路径的同时尝试将其放置在同一路径上，即 /var/）。 为了解决下面显示的（许多）错误，我在我的 ~ 主页目录内部创建了一个临时 var 文件夹，以匹配路由器的 tftp 想要“放置”的文件路径：在我的 Mac 上的 tftp-now 服务器 现在，将您的分析计算机连接到外壳路由器的 LAN 端口，并确保它的收到了