红米路由器ax6官方固件解锁ssh教程

介绍

因为红米ax6路由器没有USB口子，不能用常规的方式刷入不死固件breed控制台，需要利用官方固件的后门开启ssh去刷入其他固件或者uboot

该机型有两个分区，ROM大小一共是64mb，因为被分为了两个分区，所以实际可用的大小只有30mb左右，但是可以装双系统，或者可以刷入合并包将空间合并了，此教程仅讲解如何解锁ssh权限

利用后门需要使用红米ax6的无线桥接功能去实现漏洞，并需要另外一台带无线的的openwrt来辅助，考虑到一般人都不会有这种条件，因此本教程使用虚拟机来模拟辅助的这一台openwrt

环境

红米ax6一台

带无线网卡的电脑一台，需要win10或者以上的系统，因为需要开启移动热点，win7理论也行，但是可能要敲命令比较麻烦

设计到的软件包，别问为什么用流氓云，阿里分享有限制，lanzou不能传大文件

链接: https://pan.baidu.com/s/1892TaxnzIOMJLS9ZU9VQIg?pwd=bmmm 提取码: bmmm 复制这段内容后打开百度网盘手机App，操作更方便哦

实现

降级官网固件

降级固件到开发版1.0.18，新版本的固件无法实现漏洞,，降级过程很简单，只需要登录小米路由的web后台，关于里面有个手动上传固件，上传升级等待重启即可，当时没有截图

搭建虚拟机环境

安装VirtualBox

没什么好说的，傻瓜式安装

打开VirtualBox创建虚拟机

然后一路下一步，在虚拟硬盘里选择现有虚拟硬盘，然后将openwrt-x86-64-generic-squashfs-combined.vmdk这个虚拟硬盘文件注册进去并选择

配置虚拟机

点击虚拟机设置，将网络-网卡1切换为仅主机网络，并选择下面的虚拟网卡

备注：如果之后打开虚拟机无限重启的话，需要将处理器核数改为2核或者以上即可解决

配置虚拟网卡

因为这个vmdk里面的openwrt是192.168.5.1的网关地址，所以需要修改虚拟网卡配置，按下图修改即可

启动虚拟机并访问后台

完事之后就可以启动虚拟机访问后台了，浏览器输入192.168.5.1，用户名root，密码password

正常来说是要改什么lan的ip地址的，这里有个脚本，直接使用MobaXterm ssh连接

192.168.5.1 用户名root 密码 password

之后，上传wireless.sh到/root下(这个软件进去默认就是/root)

然后执行指令：sh /root/wireless.sh，他会提醒你按任意键继续，按个回车即可

留意一下红字标出的一行，这个就是待会需要执行的链接，当然不记也没关系，下文会提供

创建热点

使用win10的移动热点来创建一个热点，创建时请确保电脑有互联网连接，否则不给开

配置完毕后点击打开就可以了，如果有节点的配置的话记得关掉，防止因为长时间没连接他自己给你把热点关了

热点配置

因为需要无线桥接，所以热点需要禁用DHCP功能。

还是在刚刚那个网络和共享中心，按下图来，把ipv4协议的钩子去掉 然后一路确定就行了

配置虚拟机网络

关掉刚刚的虚拟机，还是刚刚的地方配置网络，选择桥接网卡，并选中刚刚开热点自动创建的一个虚拟适配器，注意这个适配器名称可能不太一样，以实际为准

确定保存，开启虚拟机之后，你就得到了一个带无线功能的openwrt，至此准备结束

修改刚刚需要记的地址

连接到小米路由器，登录后台，浏览器上方地址栏有个stok，后面的字符串复制下来到这里填充stok

http://192.168.31.1/cgi-bin/luci/;stok=<你的stok>/api/xqsystem/extendwifi_connect_inited_router?ssid=刚刚创建的热点名字&password=刚刚创建的热点密码&admin_username=openwrt的用户名（默认root）&admin_password=openwrt的密码（默认password）&admin_nonce=xxx

示例，自己看着改

http://192.168.31.1/cgi-bin/luci/;stok=sadsadsaffdafadf/api/xqsystem/extendwifi_connect_inited_router?ssid=op-ssh&password=12345678&admin_username=root&admin_password=password&admin_nonce=xxx

然后拿着这个url，复制到浏览器直接访问，等半分钟这样会给出响应结果，如果code=0，就是成功了

{
  "token": "; nvram set ssh_en=1; nvram set uart_en=1; nvram set boot_wait=on; nvram commit; uci set wireless.@wifi-iface[0].key=`mkxqimage -I`; uci commit; sed -i 's/channel=.*/channel=\"debug\"/g' /etc/init.d/dropbear; /etc/init.d/dropbear start;",
  "code": 0
}

查看ssh密码

成功之后，5ghz wifi的密码会变成ssh密码，直接复制过来，用root用户就可以登录了，没截图，凑合看

参考资料

https://www.bilibili.com/video/BV1q94y1f7fj/?spm_id_from=333.788&vd_source=a1d06e1027da0db06bbde18d8979edde