ZTE H220N (Experiabox) tweaken

[Alfie104]

Ik weet niet of er al over dit onderwerp geschreven is, maar ik kon het met de zoekfunctie zo gauw niet terugvinden. Als dit een dubbele post is, sorry en voeg het maar samen.

Verder weet ik niet of dit het meest geschikte forumonderdeel is (leek mij wel). Zo niet, verplaats het maar naar een geschiktere plek.

Waar het mij om gaat is of er mensen zijn die ervaring hebben met het tweaken van de ZTE H220N Experiabox. Ik heb het ding gekregen toen ik 1,5 jaar geleden een Tweak Glas abo afsloot. In principe vind ik het wel een prettig ding, maar er zijn toch een paar zaken die me ergeren.

Ten eerste het bereik. Bij mijn vorige internet abo had ik een "kale" modem, waar ik een Sitecom WL-306 router achter had gehangen. Die had ik voorzien van sterkere antennes ipv. de meegeleverde sprietjes en daardoor had ik bereik in het hele huis en de tuin. De ZTE heeft ingebouwde antennes en daardoor een aanzienlijk slechter bereik.

Gelukkig heb ik een "reserve" modem. M'n eerste ZTE is verziekt door een onjuiste update die vanuit KPN gepusht is, waarna ik een Thomson kreeg van Tweak. Omdat die instort als je meer dan 2 draadloze verbindingen actief probeert te gebruiken, heb ik een nieuwe ZTE gevraagd en gekregen.

Ik heb dus dat oude modem (wat overigens nog wel werkt, maar na een dag of 3 vastloopt en pas weer werkt na een volledige factory reset) uit elkaar geschroefd om eens te kijken wat er binnenin zit. Dit vnl. omdat ik gelezen heb dat bv. bepaalde Linksys modems de interne antennes hebben aangesloten met een gewoon stekkertje (U.FL) op het moederbord, het type wat je ook kunt vinden op laptop wifi kaartjes. Voor deze aansluitingen kun je verloopkabeltjes kopen met een extern chassisdeel (SMA) waar je een gangbare externe antenne op kunt aansluiten. Ik was dus benieuwd of de ZTE ook van die U.FL aansluitingen heeft.

Om er niet onnodig over uit te weiden, de ZTE heeft dus geen U.FL aansluitingen. Er zitten twee miniscule printspoortjes op het moederbord die als antennes functioneren en die via een paar condensatortjes en spoeltjes op twee antenneversterkertjes zijn aangesloten. Een grappig detail is dat de ZTE wél de mogelijkheid heeft om twee U.FL connectors op het moederbord te solderen. Er moeten dan twee condensators een kwartslag gedraaid worden om de interne antennes uit te schakelen en de U.FL aansluitingen te activeren. Dit is een mod die ik binnenkort eens ga uitproberen op dat oude modem. En als dat goed werkt, doe ik het ook bij de nieuwe. Een alternatief is om van twee van die adapterkabeltjes de U.FL stekker af te knippen en de kabeltjes rechtstreeks aan het moederbord van de ZTE te solderen.

Het tweede wat me ergert aan dit modem is dat het helemaal is dichtgetimmert door KPN. Ja, je kunt veel instellingen veranderen, maar juist de "leuke" dingen zijn onbereikbaar tenzij je het administrator password van KPN kunt bemachtingen.

Nu viel het me op (of eerlijker gezegd, ik heb er speciaal naar gezocht) dat er vier soldeerpunten op het moederbord zitten waarover een seriële verbinding mogelijk moet zijn. Ik heb mbt. Linksys modems hier al het een en ander over gelezen, maar ik vraag me af of er onder de mede-tweakers al iemand is de daadwerkelijk een seriële verbinding heeft gemaakt met een ZTE Experiabox. Is het dan ook mogelijk bv. een volledige ROM dump te maken? En bv. via Telnet de instellingen te bereiken die je normaal gesproken niet kunt bereiken? Met de ZTE Experiabox kun je bv. niet lokaal bellen, zelfs als je naar je buren belt moet je toch een netnummer intoetsen. Bij een van m'n vorige VOIP modems (ADSL toen nog) kon je dmv. regels instellen dat bij nummers van minder dan 10 cijfers automatisch het lokale netnummer werd toegevoegd. Als ik zoiets ook bij de ZTE kon instellen zou leuk zijn.

In het ideale geval hoop ik via een seriële verbinding het KPN administrator wachtwoord te kunnen uitlezen of resetten. Ik wil dit nl. graag veranderen om de silent updates van KPN te blokkeren. Het lijkt er nl. op dat ook m'n nieuwe ZTE sinds kort gesloopt is door zo'n update (KPN heeft onlangs een update uitgerold om beveiligingsgaten te dichten).

Op dit moment heb ik de oude ZTE weer dichtgeschroefd, maar als ik 'm weer los heb zal ik ook wat foto's maken om het verhaal wat te verduidelijken. En als ik daadwerkelijk de wireless mod ga doen, zal ik daar ook de foto's van posten.

[Eloy]

Zoiets zou ik ook willen doen. Ik heb al veelvuldig contact met KPN, die router werkt namelijk met Linux en ze schenden daarmee de GNU licentie. Ik wacht al sinds 7 januari op een tarball

Ik hoop dat ik iets ontvang

[FatalError]

Ik zou zelf niet zoveel tijd in dit ding steken en een Mikrotik RB2011 of iets dergelijks halen
De Experiabox kan je voor VOIP blijven gebruiken, achter de Mikrotik.

[ Voor 26% gewijzigd door FatalError op 30-06-2013 13:20 ]

[Alfie104]

ik.ben.iemand. schreef op zondag 30 juni 2013 @ 13:12:
Zoiets zou ik ook willen doen. Ik heb al veelvuldig contact met KPN, die router werkt namelijk met Linux en ze schenden daarmee de GNU licentie. Ik wacht al sinds 7 januari op een tarball

Ik hoop dat ik iets ontvang

Reken daar maar niet op, KPN heeft niet voor niets dat ding volledig dichtgetimmerd. Tenminste, dat is nu de stand van zaken, maar ik wil nog wel eens zien wat die seriële verbinding evt. prijsgeeft.

FatalError schreef op zondag 30 juni 2013 @ 13:19:
Ik zou zelf niet zoveel tijd in dit ding steken en een Mikrotik RB2011 of iets dergelijks halen
De Experiabox kan je voor VOIP blijven gebruiken, achter de Mikrotik.

Waarschijnlijk heb je gelijk, maar daar ben ik geen tweaker voor Ik wil gewoon zien wat er uit die ZTE te halen valt, waarbij de antenne-mod en de eventuele resultaten daarvan, mij in de eerste instantie het meest interesseren. Aansluitmateriaal is al onderweg, dus stay tuned. Maar die seriële interface schreeuwt natuurlijk om nader onderzoek.

[Verwijderd]

Maar zelfs bv. bij een Mikrotik (sommige modellen), zit er aansluit soldeerpunten voor een USB connector. Zelfs als je dee erop zou solderen, hoeft dat niet per se te werken.

Reden: Het is in het BIOS uitgeschakeld.

Nou is Mikrotik redelijk "open", en kan je het alsnog eruithalen, en aanzetten, maar bij een ExperiaBox....

geen idee. Misschien werkt het wel...

[BlackWhizz]

Ik ben erg benieuwd. Hier wel een andere versie experia box, maar ik vraag me het af hoe KPN het voor elkaar krijgt om zo'n brak modem te maken.

[Eloy]

Deze lijkt er wat op, misschien interessant: http://wiki.openwrt.org/toh/zte/zxv10h108l

[Alfie104]

De H108L lijkt idd wel op de H220N. Ik zal die H220N nog eens openschroeven en vergelijken met de specs van die H108L. Overigens heb ik gevonden dat de admin login van de H220N bij gebruik van de ZTE firmware "admin" en "1234" zou zijn. Ik heb geen idee of dat voor de KPN uitvoering ook zo is, want ik ben nu op vakantie dus kan het niet uitproberen.

Ik verwacht wel dat als het al zou lukken om de H220N te flashen met de openwrt firmware van de H108L, dat dan dingen als telefonie en televisie niet meer zullen werken. En als het wel werkt, zul je voor telefonie de inlogcodes moeten achterhalen.

[ Voor 6% gewijzigd door Alfie104 op 04-07-2013 11:40 ]

[Eloy]

Worden er nog vorderingen gemaakt in het tweaken van deze router? ;-)

[Alfie104]

Ik had grootse plannen, maar door tijdgebrek is het er helaas nog niet van gekomen. Ik heb ondertussen wel de nodige onderdelen in huis om de H220N te kunnen voorzien van externe antennes, waarvan ik verwacht dat het het bereik aanzienlijk zal vergroten. De interne antennes bestaan nl. alleen maar uit een paar lullige printspoortjes, waardoor het al een wonder is dat er überhaupt signaal buiten het kastje komt.

[Vae Victus]

Interessant topic. Zou graag willen weten of je via die seriële verbinding de DNS e.a. instellingen aan kan passen.
Had eerst de Siemens xperia box waar erg veel in te stellen viel. Nu die ZTE en daar kan ik helemaal niks mee. Topic bookmarked voor hier

[.Peter.]

Vergeet die serial maar, daar is niks op te vinden. Serial output en fotos zijn te vinden op https://lekensteyn.nl/zxv10-h220n/. De recovery helpt ook niet echt (boot met resetknop ingedrukt), het vraagt om een wachtwoord die ik niet hebt (Basic auth met realm CFE).

Voorheen had ik een andere Experiabox (SX551) waar ik nog Linux+busybox op kon zetten, meer zat er toen niet in https://lekensteyn.nl/files/sx551/

[Eloy]

Ik had KPN en ZTE gemaild met een verzoek om de sourcecode, ZTE geeft vooralsnog geen antwoord, KPN zegt dat ze het niet kunnen regelen. (Eigenlijk is het wettelijk verplicht, omdat GPL)

Toen las ik vanmiddag dit dus:

Verder schrijft de provider geen evidente backdoors in Huawei-apparatuur te hebben gevonden. KPN gebruikt netwerkapparatuur van het Chinese Huawei en volgens sommigen heeft de Chinese overheid backdoors in Huawei-routers verstopt. Onder andere de Amerikaanse overheid concludeerde dat. KPN kreeg gedurende twee weken op locatie in China toegang tot de broncode van de apparatuur, maar trof daarbij geen aanwijzingen voor overheidsbackdoors. Wel werden beveiligingsproblemen aangetroffen, waaronder ernstige, maar die zijn bij elke fabrikant te verwachten, stelt Huawei.

Ik vind het heel erg vreemd dat ze dit grapje niet kunnen herhalen met ZTE

Je zegt dat je geen password hebt, maar heb je ook deze geprobeerd?

Alfie104 schreef op woensdag 03 juli 2013 @ 23:37:
Overigens heb ik gevonden dat de admin login van de H220N bij gebruik van de ZTE firmware "admin" en "1234" zou zijn. Ik heb geen idee of dat voor de KPN uitvoering ook zo is, want ik ben nu op vakantie dus kan het niet uitproberen.

[ Voor 19% gewijzigd door Eloy op 13-01-2014 19:28 ]

[.Peter.]

Net weer maar eerst geprobeerd, de combinatie admin en 1234 werkt niet:

code:

HTTP/1.0 401 Unauthorized
Server: micro_httpd
Date: Thu, 01 Jan 1970 00:00:50 GMT
WWW-Authenticate: Basic realm="CFE"
Content-Type: text/html
Connection: close

<HTML><HEAD><TITLE>401 Unauthorized</TITLE></HEAD>
<BODY BGCOLOR="#cc9999"><H4>401 Unauthorized</H4>
Access denied.
<HR>
<ADDRESS><A HREF="http://www.acme.com/software/micro_httpd/">micro_httpd</A></ADDRESS>
</BODY></HTML>

Wel ben ik zojuist erachter dat lokale IPv6 routering wel werkt, en kan ik met zekerheid stellen dat er Linux 2.6.21.5 draaien. Het is mogelijk om maximaal 4 SSIDs in te stellen met verschillende wachtwoorden. De username is aan te passen (deze biedt verder geen extra veiligheid, het is al voor je ingevuld zodra je de inlogpagina opent).

Op https://lekensteyn.nl/zxv10-h220n/#hacklog staan meer details, scripts en een bookmarklet om opties te weergeven

[Eloy]

Wow! Dat ziet er mooi uit!

Is dit misschien nog interessant? Het is een kwetsbaarheid voor Linux kernel 2.6.38, dat is dus nieuwer dan de kernel die op de router staat geinstalleerd. https://labs.mwrinfosecur...r-overflow_2011-03-07.pdf

Ik ben trouwens nog steeds bezig met die GPL licentie, KPN zelf geeft steeds het antwoord dat ze geen contact kunnen krijgen met ZTE (dat is onzin natuurlijk!), dus ik heb geprobeerd om zelf contact op te nemen met ZTE. In de 1e instantie zeiden ze dat het mailadres was bedoeld voor consumenten die direct een product hadden gekocht bij ZTE, maar toen ik de situatie had uitgelegd hebben ze het mailtje doorgestuurd naar een ZTE medewerker/techneut in Nederland. Dat is intussen 2 weken geleden, en ik heb nog niks gehoord...

Word vervolgd...

[ Voor 18% gewijzigd door Eloy op 28-01-2014 20:05 ]

[.Peter.]

Fijn om te horen dat er toch enigzins met KPN/ZTE kan worden gecommuniceerd, ik had jouw eerdere posts daarover al gezien en was al benieuwd of het iets had opgeleverd.

Die kwetsbaarheid die jij liet zien is hoogst waarschijnlijk niet van toepassing op de routerfirmware. De firmware kan niet zo groot zijn, anders past het niet. Dan zullen ze zeker geen sound drivers erbij doen.

Als je naar lekken wilt zoeken, dan zijn moet je waarschijnlijk kijken naar filesystem drivers (FUSE, FAT, NTFS) of delen van de USB/storage stack. (voor andere bekende lekken kun je ook op http://www.cvedetails.com/product/47/Linux-Linux-Kernel.html kijken) De gebruikte UPnP library bevat meerdere stack-based buffer overflow vulnerabilities, maar ik kan geen shellcode schrijven in MIPS (of x86)

[Alfie104]

@Peter: Jij bent goed bezig zeg! Jammer dat je tot nu toe nog niet echt verder bent gekomen, maar je hebt nu al meer over die ZTE gedocumenteerd dan dat er ooit was gedaan.

@ik.ben.iemand: Zowel KPN als ZTE weten waarschijnlijk donders goed dat ze je verzoek niet mogen negeren, daarom denk ik dat ze het zodanig proberen te traineren dat je óf de moed opgeeft, óf het is niet meer belangrijk omdat er een nieuw vervangend apparaat is uitgekomen.

Voorlopig beperk ik mij maar tot de hardware hacks. En zelfs daar kom ik niet aan toe, terwijl ik de spullen ervoor al maanden in huis heb liggen...

[Mijzelf]

Alfie104 schreef op donderdag 30 januari 2014 @ 19:47:
Zowel KPN als ZTE weten waarschijnlijk donders goed dat ze je verzoek niet mogen negeren

Dat weet ik niet hoor. KPN geeft die dingen in bruikleen. Ze hebben de Linux en aanvullende broncodes dus alleen voor eigen gebruik aangepast. Ik denk niet dat KPN te verplichten is tot het leveren van de GPL sources. ZTE natuurlijk wel, maar dan wel aan KPN, en niet aan de eindgebruiker.

[Eloy]

Ik kreeg soms wel een beetje het Mobistar gevoel bij die helpdesk
Aan de data's te zien lijkt het er inderdaad op dat KPN gewoon wil wachten totdat ik er geen zin meer in heb of dat het apparaat zwaar verouderd is.
Hier staat een stukje van de communicatie tussen mij en KPN:

Heeft ZTE al een antwoord gegeven? Het is ondertussen
bijna een maand verder... ik vroeg me echter af: als
ik op lease toestellen van KPN een andere ROM/Kernel
mag zetten, mag ik dan ook OpenWRT installeren op de
router, want in principe 'lease' ik de router namelijk
ook bij jullie. Met de ROM's op smartphones wordt niet
moeilijk gedaan lees ik op internet.

=== BERICHT 14, 1 maart ===
Beste [...], mijn collega waar je in eerste instantie
mee hebt gesproken hierover, is op dit moment niet
aanwezig. Hij is er zondag weer. Ik heb hem geattendeerd
op je bericht en ga er vanuit dat hij hier zondag op
terug gaat komen. -Afra-

=== BERICHT 15, 3 maart ===
Oke

=== BERICHT 16, 4 maart ===
Het is inmiddels maandag?

=== BERICHT 17, 4 maart ===
Hoi [...],

Ik vrees dat mijn collega Afra zich vergist heeft. Ronald
is pas dinsdag, ofwel morgen, aanwezig. Mijn excuses
daarvoor. Hij zal morgen aanwezig zijn. Ik hoop dat hij
je inmiddels meer kan vertellen.

-Jorn-

=== BERICHT 18, 4 maart ===
Beste [...],

Graag kom ik tussendoor even inbreken in het gesprek.
Namelijk geef ik je graag antwoord op een aantal vragen
die je hebt gesteld in je bericht van 28 februari.

De KPN ExperiaBox heb je in bruikleen ontvangen. Een Lease
toestel is op andere voorwaarden in bezet.

Dit wil zeggen dat het product eigendom is en blijft van KPN.
De KPN ExperiaBox komt uiteindelijk ook weer retour bij KPN.
Als achteraf uit onderzoek blijkt dat de KPN ExperiaBox niet
in de origineel uitgegeven staat verkeerd, heeft KPN het
recht om de kosten van de KPN ExperiaBox, danwel reparatie
kosten, bij jou in rekening te brengen. Als de KPN ExperiaBox
defect raakt door of tijdens het draaien van aangepaste
firmware, behoudt KPN hetzelfde recht om de kosten van de
KPN ExperiaBox of reparatie bij jou in rekening te brengen.
Persoonlijk adviseer ik je dan ook om daar niet aan te beginnen.
Een kleine fout bij het overklokken van de CPU of een andere
aanpassing kan fataal zijn. Je kunt altijd zelf een router
kopen, aansluiten en aanpassen.

Bovenstaande komt dus eigenlijk op het volgende neer; zolang
de KPN ExperiaBox weer in originele en werkende staat
geretourneerd wordt, dan is er geen probleem.

Deze manier van uitlenen van de KPN ExperiaBox kan daarbij
heel goed een uitzondering zijn op de GNU General Public
License. Ik ben zelf ook nieuwsgierig naar de reactie, dit
kan nog wel even duren.

Met vriendelijke groet,
-Tim-

=== BERICHT 19, 4 maart ===
Correctie:
"De KPN ExperiaBox heb je in bruikleen ontvangen. Een Lease
toestel is op andere voorwaarden in bezit."

=== BERICHT 20, 7 maart ===
De ExperiaBox (de hardware) heb ik dus in bruikleen ontvangen.
Maar als ik in staat ben om een kopie te maken van de binairy
van de firmware die gelicenseerd is onder GPL (de developers
zijn de gezamelijke eigenaar, ZTE en KPN hebben deze bewerkt)
dan ben ik dus een eigenaar/gebruiker van de software die
op mijn eigen opslagmedium staat en heb ik dus recht op o.a.
de source code.

=== BERICHT 21, 7 maart ===
Hallo [...],

Je punt is mij duidelijk. We zullen de reactie in de organisatie
moeten afwachten.

Groeten,
-Tim-

[ Voor 4% gewijzigd door Eloy op 30-01-2014 22:06 ]

[.Peter.]

Geen reactie meer sinds 7 maart 2013? Vermoedelijk management en/of ZTE die moeilijk doen...

Ik kan de crash met UPnP en SSDP M-SEARCH niet meer herproduceren (met UPnP uit of aan). Ik krijg simpelweg 500 Internal Server error i.p.v. een hangende service (wat ik kreeg toen ik het in April 2013 probeerde).

code:

M-SEARCH * HTTP/1.1
Host: 239.255.255.250:1900
MAN: "ssdp:discover"
MX: 3
ST: uuid:schemas:device:(2000x 'x' of '\0'):x

Over TCP poort 1900 naar 239.255.255.250 krijg ik:
Response:

code:

HTTP/1.1 500 Internal Server Error
SERVER: Linux/2.6.21.5, UPnP/1.0, Portable SDK for UPnP devices/1.6.6
CONNECTION: close
CONTENT-LENGTH: 60
CONTENT-TYPE: text/html

<html><body><h1>500 Internal Server Error</h1></body></html>

Naar UDP poort 1900 (met source port != 1900, bijv. 1901) krijg ik alleen een response bij een geldige request. (ST header urn:schemas-upnp-org:device:InternetGatewayDevice:1 werkt bijvoorbeeld, maar met :2 i.p.v. :1 komt er geen reactie terug)

Ideeën zijn welkom

[Eloy]

Nee, dit waren niet de laatste berichten die ik van KPN heb gekregen

Hier staat een stukje van de communicatie tussen mij en KPN:

Alles wat ik daarna nog heb gestuurd was niet relevant voor die post. Mijn laatste bericht van KPN is een paar weken geleden.

[Verwijderd]

Nieuw hier, maar altijd volgend...

Ik weet niet of deze thread nog gevolgd wordt, maar m.b.t. het wachtwoord van de ZTE H220N heb ik het volgende bericht gevonden op CERT.ORG: http://www.kb.cert.org/vuls/id/228886

Vulnerability Note VU#228886
ZTE ZXV10 W300 router contains hardcoded credentials
Original Release date: 03 feb 2014 | Last revised: 14 mrt 2014

Overview
ZTE ZXV10 W300 router version 2.1.0, and possibly earlier versions, contains hardcoded credentials. (CWE-798)
Description
ZTE ZXV10 W300 router contains hardcoded credentials that are useable for the telnet service on the device. The username is "admin" and the password is "XXXXairocon" where "XXXX" is the last four characters of the device's MAC address. The MAC address is obtainable over SNMP with community string public.
The vendor has provided a statement about this vulnerability.
Impact
A remote unauthenticated attacker may be able to obtain the MAC address of the device and log into the telnet service of the device with hardcoded credentials.
Solution
We are currently unaware of a practical solution to this problem. Please consider the following workaround.
Restrict Access

Enable firewall rules so the telnet service of the device is not accessible to untrusted sources. Enable firewall rules that block SNMP on the device.

[Alfie104]

YAK, bedankt voor je input. Het is het proberen waard, maar ik doe niet meer mee. Omdat m'n provider Tweak tegenwoordig niet meer met KPN samenwerkt, maar hun eigen netwerk gebruikt, heb ik geen ZTE modem meer, maar een Zyxel. De filosofie van Tweak is dat je als eindgebruiker overal bij moet kunnen, dus ik heb geen noodzaak meer om afgeschermde software open te breken (hun Zyxel modem is dus gewoon "open").