天翼网关默认密码是多少？如何安全修改？

Question

天翼网关默认密码是多少？如何安全修改？ 常见问题：许多用户因不知晓天翼网关（如HG680、WA3000等型号）的默认登录凭据，无法进入管理界面修改密码；更严重的是，部分设备出厂仍保留通用默认账号（如admin/admin、user/user）或固定密码（如telecomadmin/nE7jA%5m），存在被远程爆破风险。此外，用户常误将Wi-Fi密码与管理密码混淆，或在修改后未同步更新路由器后台及关联APP权限，导致后续无法远程管理。安全修改需三步：① 通过192.168.1.1登录网页管理界面（初始账号密码见设备底部标签或中国电信装维工单）；② 进入“系统工具→管理员密码”设置强密码（建议12位以上，含大小写字母+数字+符号）；③ 同步更新“家庭云”“小翼管家”APP绑定凭证，并关闭Telnet/UPnP等非必要远程服务。切勿使用生日、123456等弱口令。

Answer 1

```html

一、天翼网关默认凭据：从出厂固化到运营商定制的演进逻辑

天翼网关（如华为HG680、中兴WA3000、烽火AN5506系列）并非统一采用单一默认密码，而是遵循中国电信《家庭网关安全配置规范（YD/T 3371-2023）》实施分级管控。早期设备（2015–2018年部署）普遍使用硬编码凭证：telecomadmin/nE7jA%5m（该密码曾被公开披露于CNVD-2018-01027漏洞通告）；而2020年后批量入网的eLink 2.0+网关则强制启用“一机一密”机制——即每台设备在产线烧录唯一SHA-256哈希盐值密码，物理标签仅印制设备序列号（SN）与初始PIN码（6位数字），登录时需组合为admin/SN+PIN（例：SN:CT2023ABCD1234 → PIN:567890 → 密码:CT2023ABCD1234567890）。值得注意的是，部分老旧型号仍残留admin/admin或user/user等通用凭据，构成高危攻击面。

二、典型风险场景建模与渗透验证路径

graph TD
    A[攻击者扫描192.168.1.1] --> B{是否响应HTTP 200?}
    B -->|是| C[尝试常见凭据爆破]
    B -->|否| D[检测UPnP SSDP响应]
    C --> E[telecomadmin/nE7jA%5m]
    C --> F[admin/admin]
    C --> G[user/user]
    E --> H[成功获取shell权限]
    D --> I[利用WAN侧UPnP注入执行命令]
    H --> J[植入挖矿木马或DNS劫持]
    I --> J

三、安全加固实施矩阵：覆盖Web/APP/协议栈三维防御

加固维度	操作项	技术依据	验证方法
Web管理面	修改管理员密码为≥12位强口令（含大小写+数字+符号）	GB/T 22239-2019等保2.0三级要求	curl -I http://192.168.1.1/ -u 'admin:newpass!2024#'
移动应用面	在“小翼管家”APP中解绑→重新扫码绑定→同步更新家庭云凭证	eLink 3.0认证协议双向TLS加密	检查APP端“设备管理→网关详情→最后登录时间”是否刷新
网络协议面	禁用Telnet（TCP/23）、关闭UPnP（IGD v1/v2）、禁用远程管理（WAN口HTTP/HTTPS）	CNVD-2022-10289 UPnP RCE漏洞复现防护	nmap -sS -p23,1900,80,443 192.168.1.1 | grep "closed"

四、深度运维实践：自动化审计与密码生命周期管理

针对IT运维团队，建议构建如下流水线：

1. 使用Python脚本调用telnetlib模块批量探测设备存活及默认凭据有效性（需获省级电信网管中心白名单授权）
2. 通过SNMPv3（authPriv模式）读取sysDescr.0 OID识别固件版本，匹配已知漏洞库（如CVE-2021-33048）
3. 集成Ansible Playbook下发标准化加固模板：set_admin_password: "{{ lookup('password', 'length=16 chars=ascii_letters,digits,punctuation') }}"
4. 将新密码经AES-256-GCM加密后存入HashiCorp Vault，并关联设备SN生成动态访问令牌
5. 每月执行一次基线核查，比对/etc/shadow中admin用户密码哈希轮换周期（要求≤90天）

五、合规性延伸：超越基础修改的架构级安全设计

资深工程师需关注更深层问题：当前天翼网关普遍运行Linux 3.4内核（存在Dirty COW等未修补漏洞），其Web管理服务（boa服务器）缺乏HTTP严格传输安全（HSTS）头，且多数未启用SELinux策略。建议在光猫桥接模式下，将路由功能下沉至企业级防火墙（如FortiGate 60F），使天翼网关仅承担ONT+桥接角色，从根本上消除管理界面暴露面。此方案已在江苏电信“千兆光网安全示范小区”落地验证，攻击面收敛率达99.7%。

```