Sphairon IAD 3221 Config (+VoIP) auslesen

[krisha]

Hi,

da ich mein(?) IAD 3221 nur durch eine Fritz!Box ersetzen möchte, habe ich versucht an die VoIP Daten zu kommen.

Eine interessante Methode finde ich die Konfigdatei auszulesen und zu verstehen. Wie das geht, habe ich inkl. ein paar Infos (die meisten wahrscheinlich hier aus dem Forum ) zusammengefasst:
http://www.krisha.eu/2009/01/27/sphairon-iad-3221-hack-zugangsdaten-user-pw/

Hat schon jemand eine IAD Konfig Datei 'entschlüßelt'? Austauschen, um sie zu vergleichen, ist so 'ne Sache... immerhin, weiß man ja nicht, was drin steht (Zugangsdaten...).

Edit/Update:
Die ersten 4 Bytes sind immer 'CFG1', die folgenden 4 Bytes sind die Größe. Verändert man nichts, sind diese Werte bei jedem auslesen gleich.
Die ersten 0x30 (inkl. CFG1 und Größe) scheinen der Header zu sein. Nach den ersten 8 Bytes folgen 8 Bytes die bei jedem Auslesen unterschiedlich sind.
An 0x10 befinden sich dann 30303030303000000005000E00000000. Diese sind bei mir immer gleich. Die ersten 6 Bytes mit Inhalt 0x30 könnten ein Default Passwort sein.
0x20-0x40 sind bei jedem Auslesen anders.

Eventuell ist in diesen ersten 0x40 ein Timestamp sowie eine Checksum für Header und den darauf folgenden Daten untergebracht.

Nach dem Speichern der ausgelesen config.bin und anschließendem Neustart(!!) hat sich auch der Datenbereich > 0x40 verändert. Ob dies jetzt am Neustart liegt oder an der überschriebenen Config, weiß ich aber noch nicht.

Achtung, beim speichern der Config (im IAD) sichert das IAD den Zeitpunkt des Updates unter http://192.168.1.1/web.cgi?controller=System

Edit 2:
Beim zweimaligen auslesen haben sich zudem bei einer Größe von 0x25E0 (aus Header, konstant) folgende Bereiche im Datenbereich verändert:
0x400-0x410 (0x10 Bytes)
0x25F0-0x2600 (0x10 Bytes)

 

[krisha]

(gelegentliches Update dieses Posts...)

scheint ja nicht so auf großes Interesse zu stoßen :-(

kann jemand verifizieren, ob es auf einem anderen IAD ein actioncontroller.cpp File gibt und das zur Verfügung stellen?

Beim Boot findet man auch etwas über's Config File, dort hat es aber eine andere Größe. Vielleicht wird in einer anderen Box, welche auslesbar ist, ja der gleiche Algo zur Verschlüßelung der config.bin verwendet?

Im WorstCase müsste man den FlashChip auslesen, z.B. wenn man ihn in eine Box mit U-Boot 3.0.xx einbaut.

 

[VRiker]

Es liegt wohl daran, daß das IAD 3221 nicht so weit von Alice verbreitet ist, als wie das 2200er. Aber ansonsten finde ich es eine gute Sache.

 

[Bigdesaster]

Hi Krisha,
finde den Link sehr Interessant. Warte schon lange drauf das 3221 "loszuwerden".
Einige der versteckten Websiten des IAD halte ich schonmal für sehr nützlich.
Wenigstens sieht man jetzt mal mit was das IAD synct.

Was sich mir aus dem Artikel nicht erschliest, ist ob du es geschafft hast die Config auszulesen und wenn ja wie genau.
Vielleicht kann ich mich da am WE auch mal dransetzen wenn ich ein Tipp bekommen.

Gruß

 

[krisha]

Die Config lässt sich auch über eine versteckte Seite auslesen:

http://192.168.1.1/web.cgi?controller=System&action=IndexConfig

Auf der selben Seite kann man die Config dann auch wieder ins Gerät schreiben.

Allerdings ist die Config verschlüßelt - das hab' ich noch nicht rausbekommen.

Update: Habe mir noch ein 3231 bestellt, da ich denke, dass es intern gleich ist. So kann ich besser mit der Config rumspielen ;-)

 

[Bigdesaster]

Also die Config auslesen ist also nicht das Problem. Die Frage ist ob und wie da drinsteht was wir suchen.
Ich geh wie du mal davon aus, dass das 3231 ähnlich sein dürfte. Im "/Image"-Ordner gibt es Bilder für WLAN und auch in den JavaScripts gibt's hinweise auf WLAN (übrigens auch auf andere Provider)

Hab die Firmware 2.21-2.20.4
An 0x010 steht bei mir 30303030303000000005000A00000000

Ich glaube nicht, dasss man die Config-Datei volkommen entschlüsseln kann. Zumindest ich kann damit nicht viel anfangen *g*.
Interessanter wäre es per FTP oder Telnet auf die Box zu kommen. FTP würde gehen, wenn man den Benutzer und Passwort kennen würde.
Hätte auch kein Problem das Flash auszulesen, wenn es gehen würde.....

P.S. Du solltest vielleicht die Überschrift des Threades ändern damit es Interessanter klingt. (Irgendwas mit Config auslesen und FritzBox oder so ;-) )

 

[Bigdesaster]

Hab ein paar neue versteckte Seiten gefunden:

Sprache ändern: (wer's braucht)
http://192.168.1.1/web.cgi?controller=System&action=IndexLanguage

und was recht Interessantes:
http://192.168.1.1/web.cgi?controller=Internet&action=IndexAccessMode
Dort kann man Provider und Router-Modemmodus einstellen sowei die Uhrzeit detr Zwangstrennung festlegen. Hab nicht alle ausprobiert aber Auswirkungen konnt ich noch nicht feststellen.

http://192.168.1.1/web.cgi?controller=Internet&action=IndexDynDNS und
http://192.168.1.1/web.cgi?controller=System&action=IndexSyslog
müsste es auch geben. Kommt aber derselbe Fehler wie bei IndexFirmware....

Ich bin mir mittlerweile ziemlich Sicher, dass es ähnlich wie bei der Fritzbox einen "Expertenmodus" geben muss. Man müsste nur rausfinden, wie man den aktiviert....

 

[krisha]

cool, das sind auch ganz nette Seiten!

mein eBay Verkäufer hat leider ein Fehler mit seiner Auktion begangen und kann mir daher das IAD 3231 nicht zu schicken :-(

Ich tippe auch darauf, dass man den 'ExpertenModus' irgendwo einstellen klann bzw. direkt über die config.bin ändern kann.

Werde mich später weiter damit beschäftigen.

 

[dirk32]

wäre mal interessant zu wissen ob man den IAD 3231 auch in eine Repeatermodus bringen kann, sprich ich möchte meine FritzBox 7141 mit dem IAD 3231 über WLAN verbinden!

Modem/Router: IAD 3231
Repeater: FritzBox 7141

hat da schon jemand was gefunden?

 

[krisha]

@dirk32: ein RepeaterMenü habe ich noch nicht gefunden.

Welche Menüs gibt es denn standardmäßig im 3231? Könntest du einen kleinen Baum aufmalen/schreiben?

Schon probiert über die serielle Schnittstelle auszulesen?

wäre nett, danke!

 

[dirk32]

In der Anleitung sind die Menüs auch drin!

https://www.alice-dsl.de/kundencent...produkte/anleitung_pk_Alice_IAD_WLAN_3231.pdf

 

[krisha]

hm ok auch nicht wirklich viel mehr. Auf den ersten Blick: USB + Wlan

ich habe noch eine Seite gefunden, um den DHCP und die IP Bereiche einzustellen:

http://192.168.1.1/web.cgi?controller=Network&action=IndexLan

 

[Bigdesaster]

Schon probiert über die serielle Schnittstelle auszulesen?

Ja ich habs heute wie in diesem Thread beschrieben probiert.
Leider ohne Erfolg. Eventuell könnte man es schaffen wenn man den Kurzschlusszeitpunkt richtig erwischt.
Wenn man die Pin's 31/32 brückt dann bleibt die Box stehn. Reagiert aber auch nicht auf eingaben. Wie gesagt. Eventuell wenn man den richtigen Zeitpunkt erwischt. Hatte aber keine Zeit mehr weiter rumzuprobieren.

Vielleicht könnte man die Box auch dazu bringen über's Netzwerk zu booten so wie es bei der DBOX früher ging bzw. noch geht. Info
Ich meine nämlich in der seriellen Konsole irgendwas von NFS gelesen zu haben.

 

[Agent4125]

Hi,
ich habe ebenfalls das Problem einer IAD 3221 mit neuerer Firmware und hatte bisher keinen erfolg per ubootreader 0.2 irgendetwas auszulesen. Mir ist auch bisher nicht ganz klar an welchem Punkt man am besten den Bootvorgang unterbricht. Klar ist sicher nach dem entpacken, aber was dann. Ubootreader hat bei mir jedenfalls an keiner der Adressen aus den o.g. Thread etwas auslesen können...

 

[krisha]

ne, entpacken ist nicht notwendig. Das kann man auch auf dem PC machen.

Danach soll er anhalten:

Initialize devices...
In: serial
Out: serial
Err: serial
Net: danube Switch

Type "run flash_nfs" to mount root filesystem over NFS

In der alten U-Boot Version kam hier wohl immer die Aufforderung zum Enter drücken und dann 3 Sekunden Wartezeit.

 

[Agent4125]

tja, leider hatte ich keinen Erfolg. Hab 1,5 Std alles mögliche durchprobiert, es aber nicht geschafft etwas auszulesen. Hatte auch einige mal an der o.g. Stelle angehalten... ubootreader macht stets nur ein 0 byte file , an allen 8 Startadressen..

 

[Bigdesaster]

Ich hab was!
Nachdem ich erst gedacht habe ich habe meine Box gehimmelt, hab ich es geschafft sie bei einem Promt anzuhalten.
Ich poste nacher mal ein Log. Die Brücke an Pin 31/32 muss jedoch ziemlich knapp nach dem einschalten gemacht werden. Vielleicht eine Sek.

Allerdings handelt es sich nicht wie im HowTo um einen AMAZON# sondern um einen DANUBE#.
Jetzt haut das mit dem UBOOTREADER nicht hin.
Bei den Adressen „B3020004“, „B3030004“, B3830004“ hängt er sich nach 16KB immer auf und bei „B3820004“ hört er nicht mehr auf zu laufen. Entweder brauchen wir andere Adressbereiche oder aber nen anderen U-Boot-Reader.

 

[krisha]

Freut mich, dass es geklappt hat!

Glaube der Prompt gibt die Board Bezeichnung an. U-Boot ist ja OpenSource (www.denx.de), habe dort aber nirgends ein AMAZON oder DANUBE Board gefunden.

Versuch mal in der Konsole ein paar der Info Commands einzugeben:
http://www.denx.de/wiki/view/DULG/UBootCmdGroupInfo
Bei diesen Commands sollte es auch Hinweise auf die Leseadresse geben.

In der Anleitung befindet sich:
In env_init : env_ptr = 0xb3010000
und es werden folgende Bereiche für den Reader verwendet:
B3020004 – B3030004 – B3820004 oder B3830004

Bei uns zeigt er beim Boot:
In env_init : env_ptr = 0xb0020000
würde deshalb folgende Bereiche vorschlagen:
B0030004 - B0040004 - B0830004 oder B0840004

edit: noch ein paar Links:
https://dev.openwrt.org/browser/docs/hardware/danube/bootlog
https://dev.openwrt.org/browser/branches/8.09/package/uboot-ifxmips/files/board/danube?rev=12811 //in der danube.c steht auch AMAZON
http://www.jungo.com/openrg/doc/4.8/installation_guide/pdf/infineon.pdf //auf diesem evaluation board könnte das iad basieren

 

[Bigdesaster]

So ich hab mal weiter rumgespielt.
Doch zunächst mal das Log als ich den Uboot angehalten hab.

 relocate_code start
 relocate code finish

Entering flash_init()
Flash: 16 MB

In env_init : env_ptr = 0xb0020000
For environment CRC32 is OK
env_relocate[518] malloced ENV at 83f90008
env_relocate finished

Initialize devices...
In:    serial
Out:   serial
Err:   serial
Net:   danube Switch
Saving ubootconfig ...
Erasing Flash from B0020000 to B002FFFF ...
 done
Done
Writing to Flash to B0020000 from buffer 83F90008 with length 00010000 ... Failed
Flash not Erased
DANUBE #

Edit:
Vergesst was vorhin an dieser Stelle stand *gg*

Ich hatte alle von dir vorgeschlagenen Bereiche ausgelesen und abgespeichert.
Leider muss ich wohl ne altes oder falsche Packproramm gehabt haben. Hab die Dateien jetzt mitgenommen und auf einem anderen Rechner nochmal probiert.

ES FUNKTIONIERT!
Die Archive lassen sich alle öffnen und auch die erhoffte Database.txt ist drin.

Danke für eure Hilfe. ;-)

 

[Agent4125]

WOW, Glückwunsch! Ich habe mich sogleich auch nochmal daran gemacht aber was ich auch mache ich bekomme keinen DANUBE# prompt hin. Drückst du vor dem stoppen des uboot noch auf die enter ? Habe ich auch versucht aber ohne Erfolg bisher. Das "Erasing Flash macht er aber nie wie bei dir im Log ein "Writing to Flash" . Oder ist es einfach nur ne Glückssache ? Schildere bitte nochmal genau den Vorgang damit du den prompt erhälst.