Получение shell на Huawei S6330: обход запретов через модифицированный Python и OPS

Автор рассказал, как получил shell и root shell на коммутаторе Huawei S6330-H48X6C с прошивкой V200R021C00SPC100 и патчем V200R021SPH180. В этой версии ПО встроенный shell запрещён: из режима diagnose доступна лишь ограниченная команда shell-command. Поэтому инженер занялся реверс-инжинирингом прошивки: скачал.cc-файл со свитча и отдал на разбор DeepSeek V4 Pro (Ultra) через kun-agent. Модель распаковала образ, рассортировала файлы и подготовила описания; специальных защит от распаковки почти нет, большая часть делается одним binwalk.

Дальше инструменты менялись по нарастающей: Cursor Composer 2.5 не дал рабочих вариантов, а GLM-5.2 (MAX) через ZCode предложил использовать подсистему OPS. Она предназначена для автоматизации задач вроде ZTP через python-скрипты, но в прошивке стоит модифицированный Python 3.8, из которого вырезаны os.system, popen и os.execv. Выяснилось, что os.posix_spawn осталась, однако в libpython3.8.so встроена проверка путей: скриптам доступны только /mnt/flash, /mnt/sd, /mnt/usb, /mnt/vhdd, /mnt/squash, /usr/lib/ и /dev/urandom. Обход строится на том, что фильтрация не применяется к встроенной open(): через неё читается /bin/busybox.nosuid, а через os.open в разрешённом каталоге создаётся копия с executable-битом. Получившийся файл, названный bash, запускается через os.posix_spawn.

Сам скрипт оформлен как OPS-сценарий: он копирует busybox в /mnt/flash, логирует результат и завершается. Автор подчёркивает, что метод требует уже полученных административных прав на устройстве, не позволяет выполнять код удалённо и является исследовательским, а не эксплуатацией уязвимости. При этом в статье отмечено, что прошивка от ноября 2021 года устарела, но такое оборудование ещё встречается в эксплуатации, поэтому метод, вероятно, применим и к другим устройствам вендора.