TP-Link TL-WR841N 的 root 權限取得、韌體分析與持久化憑證問題 （★ 100 分）
作者以二手 TP-Link TL-WR841N(EU) 平價路由器作為物聯網（IoT）硬體研究練習對象，拆機後辨識出 UART（通用非同步收發器，常用於序列除錯）接點，接上 USB-to-UART 轉接器並以 115200 鮑率連線，便取得具 root 權限的命令列環境。她再以兩條路徑擷取韌體：其一是從 UART 操作路由器內建的 TFTP（簡易檔案傳輸協定）用戶端，逐一傳出快閃記憶體分區；其二是以 CH341A 讀取器直接讀取 SPI（串列周邊介面）快閃記憶體晶片，取得完整映像檔。
完整韌體容量為 8 MiB，內容可切分為客製化 U-Boot 開機載入程式、Linux 核心、SquashFS（壓縮唯讀檔案系統）根檔案系統，以及多個 64 KiB 的組態與校正分區。作者以 `binwalk`、`dd`、`strings`、`grep` 等工具拆解與檢視，並確認從 UART/TFTP 與直接讀晶片取得的檔案系統幾乎一致。她指出，直接讀晶片雖需留意電壓、夾具腳位與晶片型號，卻能取得完整映像；UART/TFTP 則較適合不想直接操作晶片時使用，但受限於裝置 RAM 空間，必須分段擷取與傳送。
初步檢視發現，組態分區含有印在機身底部的 WPS（Wi-Fi Protected Setup，Wi‑Fi 快速配對機制）PIN 碼明文，也留有疑似前任持有人的 PPPoE（Point-to-Point Protocol over Ethernet，乙太網路寬頻撥號）帳密。作者在完成出廠重設後再次傾印韌體，仍能讀到該 PPPoE 憑證，顯示重設程序未清除所有持久化快閃記憶體內容。此外，根檔案系統揭露網頁管理介面的預設帳密為 `admin:admin`，系統管理帳號的 MD5 雜湊亦因未加鹽而可迅速破解為 `admin:1234`。文章提及的 CVE-2026-4346 雖描述類似的明文憑證與序列埠風險，但其列出的受影響機型是 TL-WR850N v3，不能直接視為 TL-WR841N 已獲正式確認；不過，本文實測結果仍指出二手設備僅做出廠重設，未必足以排除前任寬頻帳密外洩風險。
Hacker News 討論多將此機型視為適合入門硬體研究的教材：UART 接點清楚、網路上已有不少拆解紀錄，且可安裝 OpenWrt（開放原始碼路由器韌體）。不過，留言也提醒 TL-WR841N 已接近生命週期末期，快閃記憶體與 RAM 都很有限，不宜期待現代 Wi‑Fi 功能或高效能。另有使用者感嘆，現今要以 150 美元以下價格買到同時具備新式 Wi‑Fi、足夠效能且能安裝 OpenWrt 的路由器並不容易；有人改選 MikroTik，並以 SSH（Secure Shell，安全遠端終端連線）與自訂腳本補足 ISP 特殊 IPv6 組態需求。討論也推薦 `tio` 作為 `picocom` 的替代序列終端工具，並以「改用 Rust 重寫韌體」開玩笑回應嵌入式裝置長年累積的安全問題。
👥 21 則討論、評論 💬
https://news.ycombinator.com/item?id=49145883