E2633转正官方版分析（Telnet篇）

3.1 接口和表单#

抓到的 Web 流程：

1
GET  /?_type=vueData&_tag=vue_nowversion_lua
2
POST /?_type=vueData&_tag=prepare_firmware_upgrade
3
POST /?_type=vueData&_tag=do_firmware_upgrade

multipart 字段名：

1
VersionUpload

核心表单头：

1
Content-Type: multipart/form-data; boundary=...
2
Content-Disposition: form-data; name="VersionUpload"; filename="firmware.bin"
3
Content-Type: application/octet-stream

3.2 SessionTimeout 的定位#

页面返回过 logintoken，响应头也返回过 X_XSRF_TOKEN。曾出现：

1
HTTP 200
2
IF_ERRORSTR = SessionTimeout

以及多种 token 组合均失败：

1
prepare same token  => SessionTimeout
2
prepare sessOnly    => SessionTimeout
3
prepare sessionOnly => SessionTimeout

后续在同一登录 Session 内获取页面 token、Cookie 和 XSRF token，并先调用 vue_loadprevent_data，曾得到：

1
prepare same:<page token> => SUCC

这只说明准备阶段通过，不说明上传和刷写一定成功。

3.3 升级管理器调试#

Telnet 下可以打开升级管理器日志并查看状态：

1
sendcmd cspd.cspd.upgrade_mgr setDebug 1
2

3
sendcmd cspd.cspd.upgrade_mgr show
4

5
sendcmd cspd.cspd.upgrade_mgr -p
6

7
sendcmd cspd.cspd.upgrade_mgr -l

show 中的 State、Location、TempDirName、FlashingPid 和 MediaPid 可帮助判断升级是否真正进入后端。研究中 Web 失败后常见：

1
State       :0
2
Location    :
3
TempDirName :
4
MediaPid    :

同时没有 /var/tmp/fw.bin，这更像请求未进入后端刷写，而不是固件已经写入。

3.4 请求体上限实验#

/bin/httpd 中发现：

1
content length is beyond limit.
2
Http request body read fail.
3
Upload file fail for not enough space, g_nContentLength(%d) >= g_nAllowedSpace(%d)
4
fwrite fail when upload.
5
VersionUpload
6
/var/tmp/fw.bin
7
do_firmware_upgrade
8
my_upload_file

这证明有 body length、临时空间和写文件分支；字符串本身不能证明唯一的上限数值。

3.5 /tmp 空间与 Web 限制#

当时读取到：

1
/var/tmp 约 40960 KiB，可用约 40736 KiB
2
/tmp     约 20480 KiB，可用约 19456 KiB

官方包约 21.38 MiB，在 /var/tmp 理论上放得下，但仍被 HTTP 处理路径重置。磁盘空间够，不等于请求体限制够，也不等于升级进程会接受该文件。

3.6 Wireshark 过滤器#

只看 HTTP 上传：

1
ip.addr == 192.168.5.1 && ip.addr == 192.168.5.7 && tcp.port == 80

只看电脑到路由器：

1
ip.src == 192.168.5.7 && ip.dst == 192.168.5.1 && tcp.dstport == 80

只看重置/重传：

1
tcp.flags.reset == 1 || tcp.analysis.retransmission

早期过滤 udp 只能看到 DNS、多播或调试包，不能证明 HTTP 升级。抓包中由 192.168.5.1:80 返回 RST, ACK，与设备端连接关闭相符。

3.7 Web 结论#

• 进度 100% 只表示浏览器发完请求，不表示设备已经校验或写入。
• SessionTimeout 和 ERR_CONNECTION_RESET 必须分层排查。
• 大于几百 KiB 的正式升级包应走 Telnet + TFTP + 本地 fw_flashing，不应继续反复提交 Web 请求。
• 隐藏页面是真实刷写路径，不是安全测试页面。

4.1 参数和最小失败测试#

1
/bin/fw_flashing
2

3
/bin/fw_flashing -h

输出包含：

1
fw_flashing:no parameter
2
d:r:p:f:m:v:

确认 -f：

1
echo test > /var/tmp/fw-test.bin
2

3
/bin/fw_flashing -f /var/tmp/fw-test.bin
4

5
echo $?

输出：

1
fw_flashing name=/var/tmp/fw-test.bin,states.st_size =5
2
read magic failed!
3
GetVersionInfo error==========fw_flashing error==========

说明 -f 确实接受路径，并要求带固件 Magic/版本头。

4.2 官方包成功刷写#

电脑端确认：

1
dir fw.bin
2

3
certutil -hashfile fw.bin MD5

路由器获取并校验：

1
cd /var/tmp
2

3
rm -f /var/tmp/fw.bin
4

5
tftp -g -l /var/tmp/fw.bin -r fw.bin 192.168.5.7
6

7
ls -l /var/tmp/fw.bin
8

9
md5sum /var/tmp/fw.bin

本次包 MD5：

1
de682a3dce2b128cf7edeb8ac5f958a1

执行：

1
/bin/fw_flashing -f /var/tmp/fw.bin

关键输出：

1
RunningVerStartAddr:700000
2
RunningHeadHighAddr:2300000
3
g_ver_towrite=2
4
g_upgrade_startaddr=0x2300000
5
g_upgrade_endaddr=0x3f00000
6
firmware_size=22413312
7
firmware_offset=0x214
8
sect_size=0x20000
9
WriteVersion head success!
10
==========fw_flashing success==================

说明程序选择备用高槽、擦除并写入了包体，同时更新了版本头。

4.3 强刷完整步骤（Telnet 通道）#

适用于 Web 上传被限制（第 3 节结论）、需要走 Telnet 直接刷写的场景。全程在 Telnet 下完成，fw_flashing 只写备用槽，写入成功并重启前当前系统不受影响。

① TFTP 传输固件到设备（192.168.5.7 换成电脑 IP，电脑侧 TFTP 服务需已启动）：

1
cd /var/tmp
2

3
rm -f /var/tmp/fw.bin
4

5
tftp -g -l /var/tmp/fw.bin -r fw.bin 192.168.5.7

② 设备侧复核完整性。大包经 TFTP 落盘后必须复核，与电脑端 certutil -hashfile fw.bin MD5 的值对比：

1
ls -l /var/tmp/fw.bin
2

3
md5sum /var/tmp/fw.bin

大小或 MD5 不一致就重传，不要带着坏包执行刷写。

③ 直刷备用槽：

1
/bin/fw_flashing -f /var/tmp/fw.bin

结果判断：

④ 失败与回退。

fw_flashing 校验失败时不会写入任何槽，设备照常使用。刷写成功但新系统启动异常时，原系统仍保留在另一槽，双槽机制提供回退可能（回退行为未实测，见 5.3，不要主动刷坏包去验证）。注意回退只回滚固件：改过的 Tag 型号、回写过的 config 都不会跟着回退。

5.1 Tag 直接写失败#

尝试 cat、mknod、chmod 后仍 MD5 不一致。设备没有 mtd_debug、flash_erase、nandwrite，只有 fw_flashing、upgradetest 等程序；这些程序没有暴露 Tag 写入接口。

后来发现，官方固件本身就自带 /bin/setmac，它通过 libtagparam.so + libmtduserapi.so 自动完成擦除并重算 CRC32 —— 改 Tag 用一条命令就够了。

5.2 Web 反复失败#

1
升级准备失败：SessionTimeout
2
上传连接失败
3
net::ERR_CONNECTION_RESET

进度 31%、62%、97%、100% 后都见过失败。用小文件先拆分问题，确认大文件主要被 HTTP 路径限制后，停止继续提交 22 MiB 包，转为本地 fw_flashing。

5.3 未验证自动回退#

已确认 currentverphyaddr、backverphyaddr、两个 IsBad 字段，但没有故意刷坏包测试回退。不要为了得到一个“确定答案”而破坏当前可启动槽。