1. 光猫超级密码到底是个什么东西很多人第一次接触光猫后台都是因为家里网速不对劲、想改个WiFi名字或者想把光猫改成桥接模式用自己的路由器拨号。结果用光猫背面贴的那组账号密码登进去一看界面简陋得可怜能改的东西少之又少连端口映射、DMZ、VLAN这些选项的影子都找不到。这时候你才会意识到自己登进去的只是普通用户账户真正管事的那个账户才是所谓的“超级密码”账户。光猫出厂时一般内置两套甚至三套账户体系。一套是给装维师傅用的管理员账户权限最高能改所有参数一套是给普通用户看的用户账户只能改WiFi名称密码这类表层设置有些型号还有一套给远程管理平台用的账户。电信体系里最常见的超级管理员账户名就是telecomadmin密码通常是nE7jA%5m或者admintelecom这类出厂默认值。但问题在于装维师傅上门装完宽带后绝大多数情况下会把这个密码改掉或者由后台系统远程下发新密码覆盖掉默认值所以你拿着网上搜到的默认密码去登十有八九是登不进去的。这就引出了本文要聊的核心问题当你只有光猫背面那组普通账户、超级密码已经被改掉的情况下怎么把管理员权限拿回来以及拿回来之后能做哪些普通账户做不了的高级配置。适合阅读这篇内容的人包括想自己改桥接但被权限卡住的折腾党、家里网络结构复杂需要做端口映射的玩家、想关掉光猫自带WiFi减少干扰的用户以及单纯对家里这台设备好奇想摸清楚它底细的技术爱好者。需要提前说明的是不同品牌、不同型号、不同固件版本的光猫获取超级密码的方法差异非常大。华为、中兴、烽火、友华这几个牌子占了国内光猫市场的绝大部分份额它们各自的套路完全不一样。下面我会按品牌和通用思路分别拆解把原理讲清楚把操作步骤写明白同时把踩过的坑一并交代。2. 获取超级密码的几条主流思路拆解2.1 为什么默认密码经常失效先搞清楚一个前提为什么网上搜到的那些默认超级密码在你家光猫上往往不管用。原因主要有三个。第一装维师傅在开通宽带时会通过手持终端或者后台系统把光猫的管理员密码改成动态生成的复杂密码这个密码存在运营商的系统里师傅自己也不一定记得住下次要维护时再查。第二光猫在首次注册到运营商网络时会通过TR-069协议从远程管理平台拉取一份配置文件这份配置里就包含了新的管理员密码等于说光猫一联网密码就被远程改掉了。第三部分较新的固件版本在出厂时就取消了固定默认密码改成每台设备一个随机密码印在某个不显眼的地方或者干脆只存在后台。理解了这三点你就明白为什么“直接试默认密码”这条路对大多数人走不通。但这不代表没有别的办法因为光猫本质上是一台运行着精简Linux的嵌入式设备只要你能从某个入口拿到它的配置文件密码就藏在里面。2.2 从配置文件里把密码读出来这是目前最通用、成功率最高的一条路核心逻辑是光猫的管理员密码以明文或可逆加密的形式保存在它的配置文件里而配置文件可以通过某些不需要超级权限的途径下载出来。一旦拿到配置文件用工具解密或者直接搜索关键字密码就到手了。具体操作上不同品牌的光猫有不同的下载入口。华为系列的光猫普通用户登录后在“系统工具”或者“管理”菜单里有时候能找到“配置文件备份”或者“USB备份”的选项把配置导出到U盘。如果Web界面没有这个选项还可以尝试通过TFTP的方式但那个通常需要先有权限。中兴系列的光猫部分型号在普通用户界面下访问特定URL就能触发配置文件下载比如在浏览器里直接请求/backupsettings.conf这类路径。烽火的光猫则经常可以通过访问/cgi-bin/luci下的某些接口拿到配置。拿到配置文件之后它通常是一个XML格式的文本文件但关键字段可能是Base64编码或者用AES加密过的。华为的配置文件里管理员密码字段一般是明文或者简单编码直接搜索telecomadmin或者AdminPassword就能看到。中兴的部分型号会对密码做一层可逆加密需要用对应的解密脚本处理。这一步的具体方法我会在第3章里按品牌详细展开。2.3 利用普通账户的隐藏接口提权有些光猫的固件在设计时留了一些“后门”式的接口普通用户账户虽然看不到管理菜单但如果你知道确切的URL路径直接访问就能绕过界面限制执行管理员操作。这类接口常见的有几种形式一种是直接访问管理员专属的CGI脚本比如/cgi-bin/baseinfoSet.cgi这种参数传对了就能改配置另一种是通过特定的URL参数触发调试模式让界面显示出隐藏的管理选项。这条路的优点是操作相对简单不需要下载和解密配置文件缺点是高度依赖具体型号和固件版本而且运营商在新固件里往往会把这些接口堵上。我实测下来较老的光猫比如2018年之前出厂的成功率比较高近两年的新设备基本都被封了。2.4 恢复出厂设置后的机会窗口把光猫恢复出厂设置然后用默认超级密码登录这是一条理论上可行但实际操作中坑很多的路线。坑在哪里光猫恢复出厂后它会尝试重新向运营商网络注册一旦注册成功远程管理平台又会把密码改掉。所以你必须在它注册成功之前的那几分钟窗口期内完成操作。而且恢复出厂会导致宽带账号密码丢失如果不知道自己的宽带账号密码恢复后可能连网都上不了得打电话让师傅上门重新配置。另外部分地区的光猫在恢复出厂后如果检测到是同一个OLT端口下的设备会自动下发之前的配置等于白恢复。所以这条路我只建议在你有把握拿到宽带账号密码、并且能接受短暂断网的情况下尝试。2.5 各品牌常见型号的密码规律虽然默认密码经常被改但了解各品牌的密码规律对排查还是有帮助的。下面这张表整理了几个主流品牌常见型号的默认超级账户和密码注意这些只是出厂默认值实际能不能用取决于你的光猫有没有被改过。品牌常见型号举例默认管理员账户默认密码华为HS8145V、HG8145V5telecomadminnE7jA%5m中兴F660、F760、ZXEN G100StelecomadminnE7jA%5m 或 admintelecom烽火HG5143F、HG6143FtelecomadminnE7jA%5m友华PT927Gtelecomadmin部分为 admin吉比特H3-1S LiteCMCCAdminaDm8H%MdA注意上表中的密码仅为出厂默认值绝大多数已装机的光猫密码都已被修改直接尝试大概率失败不要在这上面浪费太多时间。3. 按品牌实操从配置文件到密码到手3.1 华为光猫的配置文件提取与解密华为的HS8145V、HG8145V5、B866-S2这些型号在国内电信宽带里占有率极高我就拿它当第一个详细拆解的对象。华为光猫的普通用户账户通常是useradmin密码印在光猫背面。用这个账户登录Web界面后你会发现菜单里没有“管理员”相关的选项。但华为的固件里其实藏了一个配置文件下载的入口只是不在界面上显示。操作步骤如下。首先用普通账户登录光猫地址一般是192.168.1.1。登录成功后在浏览器地址栏里手动输入这个URLhttp://192.168.1.1/html/ssmp/deviceinfo/configfile.asp。部分固件版本会直接弹出配置文件下载对话框文件通常命名为hw_ctree.xml或者ctce8_HS8145V.cfg。如果这个路径不行可以试试http://192.168.1.1/backupsettings.conf这是另一个常见的备份接口。下载下来的文件如果是.xml结尾直接用文本编辑器打开搜索telecomadmin这个关键字你会在附近看到类似X_HW_WebUserInfoInstance InstanceID2 UserNametelecomadmin Password... UserLevel0/这样的字段。这里的Password值就是管理员密码华为较老固件里它是明文较新固件里可能是Base64编码解码一下就能看到。如果下载下来的是.cfg文件那是加密过的需要用华为专用的解密工具。这类工具在技术社区里能搜到核心原理是利用华为固件里固定的AES密钥做解密。解密后得到的还是XML按上面的方法搜索即可。实操心得华为光猫在下载配置文件时有时候会提示“当前用户无权限”这时候可以尝试先访问http://192.168.1.1/html/ssmp/devmanage/saveconfig.asp触发一次配置保存然后再去下载。另外部分固件版本对下载次数有限制连续下载多次可能会被临时锁定建议一次成功。3.2 中兴光猫的Web接口利用中兴的光猫比如F660、F760、ZXEN G100S这些普通用户账户登录后能看到的界面比华为还要简陋。但中兴的固件里有一个比较经典的提权路径就是通过访问特定的CGI接口来读取配置文件。具体操作用普通账户登录后在浏览器里直接访问http://192.168.1.1/cgi-bin/luci/admin/status或者http://192.168.1.1/getpage.gch?pid1002nextpagemanager_dev_conf_t.gch。这两个路径在不同固件版本下表现不一样有的会直接显示管理员配置页面有的会触发配置文件下载。如果成功触发下载你会得到一个.conf或.xml文件里面搜索AdminPassword或者WebPassword就能找到密码。中兴较新的固件对这类接口做了鉴权普通用户访问会返回403。这时候可以尝试另一个思路利用光猫的USB备份功能。部分中兴光猫在普通用户界面下有“USB备份”选项把U盘插上去备份出来的配置文件里同样包含管理员密码。这个方法的成功率取决于固件有没有把USB备份功能开放给普通用户。还有一个细节值得注意中兴光猫的配置文件里密码字段有时候是经过简单异或加密的不是明文。如果你搜到的是一串乱码可以试试用常见的异或密钥比如0x5A做一次解码。这个规律不是所有型号都适用但在我接触过的F660和F760上验证过。3.3 烽火与友华光猫的差异化处理烽火的HG5143F、HG6143F这两款在电信宽带里也很常见。烽火光猫的普通用户界面下有一个比较隐蔽的配置文件导出入口在“管理”菜单里找到“设备管理”然后看页面源码里面往往藏着一个指向/backup.cgi或者/config_backup.cgi的链接。直接访问这个链接就能下载配置文件。烽火的配置文件通常是明文XML搜索telecomadmin直接就能看到密码。友华的PT927G相对麻烦一些它的普通用户界面几乎没有可用的提权入口。我试过的方法里比较有效的是通过Telnet。部分友华光猫在出厂时Telnet是开启的用普通账户的用户名密码就能Telnet进去进去之后cat /var/config.xml或者cat /etc/config/telecomadmin就能看到密码。如果Telnet没开那就只能走恢复出厂设置这条路了。吉比特的H3-1S Lite是移动宽带定制款管理员账户是CMCCAdmin默认密码aDm8H%MdA。这款光猫的普通用户界面下访问http://192.168.1.1/cgi-bin/baseinfoSet.cgi有时候能直接读到管理员配置。如果不行同样可以尝试配置文件下载的思路。3.4 配置文件解密后的关键字段定位不管你用哪种方法拿到了配置文件接下来的关键是从里面准确找到密码字段。不同品牌的字段命名不一样下面这张表整理了常见品牌的字段名和编码方式方便你快速定位。品牌配置文件格式密码字段名编码方式华为XMLPassword在WebUserInfoInstance节点下明文或Base64中兴XML/confAdminPassword、WebPassword明文或异或加密烽火XMLAdminPwd、telecomadmin明文友华XMLadmin_pass、super_pass明文或Base64吉比特XMLCMCCAdminPwd明文定位到密码字段后如果是Base64用任意在线工具或者命令行echo 编码值 | base64 -d解码即可。如果是异或加密需要知道密钥这个得根据具体型号查资料。4. 拿到超级密码后的高级配置实战4.1 改桥接模式让路由器来拨号拿到超级密码后最常做的第一件事就是把光猫改成桥接模式让后面自己的路由器来拨号。这样做的好处是减少一层NAT降低延迟同时能用自己的路由器实现更丰富的功能比如端口映射、DDNS、流量统计等。操作路径用telecomadmin登录后找到“网络”菜单下的“宽带设置”或者“WAN配置”。你会看到一条或多条WAN连接通常第一条是INTERNET类型模式是Route路由模式。把这条连接的模式改成Bridge桥接然后记下它对应的VLAN ID比如41或者其它数字这个ID在改桥接后配置路由器时要用到。改完之后保存光猫重启。接下来在自己的路由器上把WAN口连接类型设为PPPoE填入宽带账号密码VLAN ID填刚才记下的那个。如果路由器支持VLAN tagging直接填如果不支持有些地区可能需要光猫这边保留VLAN透传。拨号成功后你的路由器就拿到了公网IP光猫只负责光电转换。注意改桥接前一定要确认自己知道宽带账号密码。如果不确定可以先在光猫的WAN配置页面里看看能不能看到账号密码通常是隐藏的或者直接打运营商客服电话查询。改桥接后如果拨不上号大概率是VLAN ID填错了或者账号密码不对。4.2 关闭光猫自带WiFi减少信号干扰光猫自带的WiFi性能通常很一般而且和你的路由器WiFi放在一起会互相干扰尤其是2.4G频段。拿到超级密码后可以把光猫的WiFi关掉只让它做光电转换和拨号或者桥接。操作路径在管理界面找到“WLAN”或者“无线”菜单把2.4G和5G的开关都设为关闭。有些光猫的WiFi开关在“网络”菜单下的“WLAN配置”里。关掉之后家里的无线信号就只由你的路由器提供信道干扰会明显减少。如果你不想完全关掉也可以把光猫WiFi的信道手动固定到一个和路由器不重叠的信道。比如路由器用信道6光猫就用信道1或11。不过实测下来直接关掉是最省心的做法。4.3 端口映射与DMZ的正确设置姿势光猫在路由模式下本身也有一层NAT。如果你需要从外网访问家里的设备比如NAS、摄像头需要在光猫上做端口映射或者把光猫的DMZ指向你的路由器然后在路由器上再做映射。这里有个坑很多人只在路由器上做了端口映射忘了光猫这层也有NAT结果外网死活访问不进来。正确的做法有两种。第一种是光猫改桥接路由器拨号这样只有一层NAT只需要在路由器上做映射。第二种是光猫保持路由模式在光猫上把DMZ主机设为路由器的WAN口IP然后在路由器上做端口映射。第二种方式相当于把光猫的NAT穿透问题交给DMZ解决但安全性稍差因为DMZ会把所有未映射的端口都转发给路由器。操作路径光猫管理界面里找到“安全”或者“NAT”菜单里面有“端口映射”和“DMZ配置”。DMZ配置里填入路由器的WAN口IP通常是光猫分配给路由器的那个192.168.1.x地址。端口映射则根据需要逐条添加比如把外网的8080映射到内网NAS的80端口。4.4 修改TR-069远程管理参数防止密码被改回这是一个很多人忽略但非常重要的步骤。光猫的超级密码之所以会被改掉就是因为TR-069远程管理协议在起作用。拿到超级密码后如果你不想下次重启又被改掉可以把TR-069的连接参数改掉或者直接禁用。操作路径在管理界面找到“管理”或者“远程管理”菜单里面有TR-069配置。你会看到ACS服务器的URL、用户名、密码以及“周期上报”的开关。把ACS URL改成一个无效地址比如http://0.0.0.0或者直接把TR-069功能禁用。这样光猫就不会再向运营商的管理平台上报也就不会收到新的密码下发指令。注意禁用TR-069后运营商可能无法远程帮你排查故障如果后续宽带出问题需要师傅上门可能会被要求恢复。另外部分地区的光猫在禁用TR-069后运营商会检测到设备离线可能会触发工单。建议在操作前想清楚自己是否真的需要长期保留超级密码。4.5 SMB共享与USB存储的启用部分光猫带有USB接口支持挂载U盘做简单的文件共享。拿到超级密码后可以在管理界面里找到“USB应用”或者“存储共享”菜单启用SMB服务。这样家里的设备就能通过局域网访问U盘里的文件相当于一个简易的NAS。操作路径插入U盘后在管理界面里找到“USB存储”或者“文件共享”启用SMB/CIFS协议设置共享名称和访问权限。然后在电脑上通过\\192.168.1.1就能访问。实测下来光猫的SMB性能比较有限传输速度大概在10-20MB/s适合传小文件不适合做大容量读写。5. 常见问题与排查技巧实录5.1 登录界面只显示useradmin怎么办这是最常见的问题。你用光猫背面的普通账户登录后界面里根本没有管理员选项。这时候不要慌先确认你访问的登录页面是不是管理员专属入口。有些光猫的管理员登录页面和普通用户登录页面是同一个只是账户不同有些则是分开的管理员入口可能是http://192.168.1.1/admin或者http://192.168.1.1/cgi-bin/luci。如果访问管理员入口后仍然只能看到普通界面说明固件做了限制需要走配置文件提取的路线。5.2 配置文件下载失败或文件为空下载配置文件时遇到失败常见原因有几个。一是路径不对不同固件版本的备份接口不一样需要多试几个。二是权限不足普通用户账户被限制了下载权限这时候可以尝试先访问一下管理页面触发会话再下载。三是浏览器缓存问题建议用无痕模式或者换个浏览器试试。如果下载下来的文件是0字节说明接口存在但被拦截了换思路走Telnet或者恢复出厂。5.3 密码字段是乱码怎么处理配置文件里搜到的密码字段如果是乱码先判断编码方式。Base64编码的特征是只包含字母数字和/用Base64解码工具处理即可。如果是完全看不懂的二进制乱码可能是AES或异或加密需要根据品牌找对应的解密工具。华为的AES密钥在技术社区里有公开中兴的异或密钥通常是固定的几个值多试几次就能找到。5.4 改桥接后无法拨号改桥接后拨不上号排查顺序如下。第一确认VLAN ID是否正确这个可以在改桥接前的WAN配置页面里看到不同地区不同运营商的VLAN ID不一样。第二确认宽带账号密码是否正确特别是密码里有没有特殊字符被漏掉。第三确认路由器的PPPoE设置里有没有填VLAN ID如果路由器不支持VLAN需要在光猫这边保留VLAN透传。第四有些地区的运营商绑定了光猫的MAC地址改桥接后需要把路由器的MAC克隆成光猫的MAC。5.5 超级密码改完后重启又失效这说明TR-069远程管理在起作用。按第4.4节的方法把TR-069禁用或者改掉ACS地址。如果禁用后仍然失效可能是光猫在启动时从本地某个分区恢复了默认配置这种情况比较少见需要刷固件或者换光猫。下面这张表整理了常见问题、可能原因和解决思路方便快速对照排查。问题现象可能原因解决思路默认密码登不进密码已被远程修改走配置文件提取路线配置文件下载失败路径错误或权限不足多试几个备份接口用无痕模式密码字段乱码加密或编码Base64解码或找对应解密工具改桥接后拨号失败VLAN ID或账号密码错误核对VLAN ID和宽带账号密码重启后失效TR-069远程下发禁用TR-069或改ACS地址Telnet连不上Telnet服务未开启尝试恢复出厂或走Web提权5.6 几个容易踩的坑和独家技巧第一个坑是恢复出厂设置后忘记宽带账号密码。我见过不少人恢复完发现上不了网又不知道账号密码最后只能等师傅上门。所以恢复前一定要确认自己手上有宽带账号密码或者至少能通过客服查到。第二个坑是改桥接后忘了关光猫的WiFi。光猫改桥接后它的WiFi功能其实还在发射信号只是不能上网了。如果你不关掉手机可能会连上这个没有网的光猫WiFi导致上不了网。所以改桥接后顺手把光猫WiFi关掉。第三个技巧是备份配置文件。拿到超级密码后第一件事应该是把当前完整的配置文件备份一份到本地。这样以后不管怎么折腾出了问题都能恢复回去。备份的方法和下载配置文件一样只是这次是在有管理员权限的情况下下载能拿到更完整的配置。第四个技巧是关于华为光猫的。华为的部分型号在管理员登录后访问http://192.168.1.1/html/ssmp/devmanage/saveconfig.asp可以手动触发一次配置保存然后再下载配置文件这样拿到的配置是最新的密码字段也最准确。6. 关于这件事的一些个人体会折腾光猫这件事说到底是在和运营商的远程管理机制博弈。运营商改密码的初衷是防止用户误操作导致网络故障这个逻辑本身没问题。但对于有一定技术基础的用户来说被挡在门外确实不方便。我的建议是拿到超级密码后把该做的配置做好该备份的备份好然后尽量保持低调不要频繁改动配置触发运营商的告警。TR-069要不要禁取决于你对自己技术能力的信心和对网络稳定性的要求。如果你只是想把光猫改桥接用自己的路由器那改完桥接、关掉WiFi、做好备份基本就够用了没必要把TR-069也禁掉留着它还能让运营商帮你远程处理一些底层问题。另外不同地区的运营商策略差异很大。同一个型号的光猫在A省能用的方法在B省可能就被封了。所以上面讲的方法你需要结合自己的实际情况去试不要指望有一个万能公式。遇到卡住的地方多换几个思路实在不行就接受现实打电话让师傅上门顺便递根烟问问密码有时候比你自己折腾半天还快。