全国光猫开始随机超管密码是有原因的

[strp]

安全原因，很多公共场所所提供的无线或者有线网络并没有通过路由器拨号，而是由光猫拨号然后再次进行 NAT 提供网络，通过访问光猫的 IP 并使用默认的超级管理员密码，可以通过工具启用 shell ，能干嘛具体看型号，光猫在 2024 年成为 botnet 的一部分已不是什么新闻，这还算好的，现在世界范围还没有大规模通过劫持光猫注入木马并"Harvest now, decrypt later"的行为被发现，我一开始想，国外 WAN 直接 DHCP 分配是不是就没有这种问题呢？后来发现是我想多了，世界就是一个巨大的草台班子，自去年这个问题引起争议之后我就在出国的时候在路边通过破解 WPA 和 WPS 连别人 WiFi 玩，可能外国送的光猫性能本身就挺强的吧，挺多人不会额外购买路由器，例如美国 AT&T 和泰国 AIS ，前者部分型号无需登录即可查看或通过默认密码登入即可更改配置，而大多数型号以 Guest 身份可查看光猫无线和有线网络信息，但是无法更改，不过很多人也设置的弱密码或者管理密码跟 WiFi 密码相同，泰国 AIS 更加方便，无需出国直接在 VPN Gate 上找个 AIS 宽带的节点连上，访问 https://myaisfibre.com 也无需密码即可更改一堆配置，还能帮别人远程升级光猫。当然大多数情况下，线下看门狗成本看似是有点高了，但是现在很多光猫是带有无线功能的，有些直接就是 OpenWrt 魔改，可以通过无线功能把光猫作为跳点进而远程攻击其他 IoT 设备。那么，难道没有 Security patches 这种东西吗？相比于给全国这么多不同型号，杂七杂八甚至几百万年前的光猫花费大量资金适配，远程升级软件，还要冒着被客户骂因为可能升炸了或者升级很久客户刚好在用直接断网然后被投诉到死，远程更改超级管理员密码相对来说更加保守也能杜绝绝大多数上述所说场景所需要的初始步骤，就事论事，我知道有些事情听起来像是天方夜谭，但我希望评论区不会尝试阻止人们去探讨潜在的可能性。

其实大多数地方运营商的光猫都是同宽带一同租赁，即退网要归还，光猫并非你之财产，你只有使用权，其实国内来说环境至少目前还算挺好的了，Comcast 的 Xfinity ，Orange 的 Livebox ，都是与接入互联网这个概念绑定的，没有这个设备你客户端都没法 DHCP ，因此有 HomeLabbers 特意去破解，想方设法怎么不用这些东西，国内最近开始推广的 IPoE 不少人也反映有这个倾向，if you don't fight back, at least you can hope for the best.

[cxtrinityy]

只要随机一次就能解决的问题为什么随出来的超级密码现在有效期只有十几分钟，你这说法并不通。即使光猫不是用户的，那么理应提供桥接服务，而实际上想要获得桥接服务也并不理所应当。

[strp]

@cxtrinityy 你要想我举例我可以举很多个例子，可以通过局域网伪装 IP/MAC 穷举暴力破解，可以防止草台班子客户保存光猫密码然后电脑被黑被搞光猫，如果不想被改密码，可以自己换个光猫，正如我所说光猫不是你的资产，只是借给你用，目前没有遇到过问宽带小哥要超管密码不给或者要求改桥接不给的情况，论坛上好多人说师傅语气很不客气说投诉也不给改的，就算师傅真的是这么说的吧，完了这威慑还真有用，真就一个投诉电话都没打过。

[sirlion]

lz 居然真的在 V2EX 指出有技术上的问题，而不是 zz 原因，胆真大

[baobao1270]

确实是这样，听说 AT&T 的光猫是 802.1x 认证，私钥在 TPM 里，没法破解

我觉得互联网应该是对等的，即使是最大的运营商和最小的用户也应该用 peer 的方法建立连接——也就是一人一个 AS 号

[snugness]

我不清楚国外的情况，对于国内的情况我觉得你说对了一半。因为能控制光猫的情况是开放光猫 WIFI 或者光猫拨号，而最最主要是因为如果光猫拨号，ISP 就能远程控制光猫的所有设置，并且监视所有你的连接，因为光猫就是网关。共用网络直接用光猫拨号下发 DHCP 本身就有问题，如果为了运维和安全，最简单和最安全的方法是用 AC+AP 。但是很多地方不愿意长期请一个运维去处理，因为外包是最节省资金的，所以直接外包给 ISP ，就会出现你说的这种情况。我做酒店弱电，很多时候甲方为了省钱，直接叫电信过来做 FTTP 。光猫密码如果不是随机，我自己在酒店房都能用软路由 PPPOE 拨号。

[JensenQian]

国内其实最近几年自带猫应该不弱
我看黄鱼上猫基本上都是
四核 a53 的 u+wifi6 ax3000 配置
比很多人那些 wifi5 古董强多了
其实很多人上网需求就刷刷抖音微信，他们才不管什么好坏呢，有网就行

还有现在云宽带，你家里那台光猫就是 ap

[youx]

武汉电信 2010 年 ftth 光改 光猫超级密码就是随机的

[aptupdate]

去年办的宽带光猫是 F2355V10 ，应该也是随机超级密码。
想改桥接暂时不知道怎么搞。

[zhtyytg]

@aptupdate 有些光猫的密码能破解，网上搜一下按教程来就行

[Untu]

@snugness 没有光猫 ISP 也能监视你在干啥，防 ISP 只能说你想太多了

[dodakt]

@snugness
ISP 真的不需要通过光猫监控流量，这玩意儿就是为了方便运营商售后，很多问题直接远程解决了。毕竟对绝大多数用户来说，连上 wifi 就能用就是唯一要求，至于公网 ip 、nat1 还是 4 。桥接以后防火墙方便自己管控等等，可以说没这个需求 。现在甚至很多人的路由器性能还不如光猫。这点我是支持默认光猫拨号，桥接需要申请的。

当然 有各前提 ，超密可以没有，但有需要的用户可以提供改桥接服务（现在很多地方，打个电话，客服远程改桥接，不需要光猫操作就挺好）， 而不是一刀切不给改。

[lcy630409]

第一 猫 不是你的 产权是电信的，他只负责你插在 那个网口有网 网速达标即可
第二 你永远不知道客户有多脑残，特别是那一小部分客户，能消耗你 80%的客服 维护资源

[lcy630409]

就像我们写代码，逻辑很简单，80%的代码在防止客户的脑残操作和恶意行为

一个片区的师傅就那么几个，今天你进光猫设置一通 出问题了 10000 报修
明天他来一次，师傅就不用搞别的了 专门在路上

[lcy630409]

光猫出现局端控制的本意就是远程维护
客户打电话报修 光猫的情况 客服后台点一下就知道了，到底是光猫有问题 线路有问题 片区大修 还是客户有问题 基本能挡住 90%的普通报修

[tool2d]

我家电信光猫是固定密码，root 密码也是固定的，进去随便看。

应该算是老古董了。

[cxtrinityy]

@strp 你的穷举破解的例子即使有效，也只会殃及一个人，如果你是一个被针对的，那么随机光猫密码也没啥用，毕竟 wifi 密码不是随机的，黑你不一定要黑你的光猫。
我说了改桥接并不理所当然，没有说不能改桥接，这里有门槛。我投诉过运营商，我不知道你投没投诉过，你要先运营商内部投诉，才能工信部投诉，如果要求合理，快则四五个小时，慢能拖个四五天，我上次投诉就花了一周，投诉完你还要等师傅上门，一来二去可能就三四天没了，本来就几分钟的事，却要搞这么麻烦。再麻烦点第一轮工信部投诉可能还没用，要多投诉几轮，这里到底谁在图什么？

[QWE321ASD]

上次让我有印象的 v 站回旋镖是百度取消快照,前几天想用谷歌看快照,结果发现入口已经取消,只能用 url 进入了.

[nothingistrue]

外国 DHCP 跟国内 PPPoE 是一回事？

拿光猫密码，难道不是为了抽走拨号功能到路由器，让他干它原本只应该干的光-数字信号转换，还想干其他事？

不可自控的光猫拨号，比受控路由器拨号，更安全？

ISP 的客户难道全是一堆未成年人，必须被老大哥牵线提着才能走？

[miniliuke]

@cxtrinityy 桥接在安装时候说我要路由器拨号上网师傅直接给弄了，我用过联通、电信师傅都可以帮你搞成桥接......唯一麻烦的是如果想要自己换光猫可能不太好搞

[tool2d]

2024 年，改桥接有啥意义吗？

第一，光猫性能没以前那么弱鸡。
第二，现在公网 IP4 是需要付钱的，每月 100 元。
第三，IP6 的入站请求防火墙，我们这里电信是设置在光猫上一层 DROP 的，就算桥接也关不掉。