小米的路由器系统是基于Openwrt系统进行深度定制的，早期的小米路由器跟Openwrt系统一样的开放，也没有关闭ssh和telnet端口，而且带有USB接口，所以有各路的大神为它定制各种插件，以实现不现的功能，比如：出国留学，屏蔽广告，虚拟组网，选程下载等功能。但是，后来的小米的路由器官方系统被严重的阉割了，关闭ssh和telnet端口，没有办法安装插件，也没有USB接口了，变成了一个纯粹的路由器了。虽然小米路由器的硬件依然很有性价比，但官方系统却越来越不智能了。所以，从这篇文章开始和大家一起从零开始一步步解封小米/红米路由器，让它恢复之前的智能。注意：这些文章大部分是保姆级教程，为了让小白也能上手，所以穿插了很多图片。

文章涉及的方案理论上来说全系小米/红米路由器都通用，比如：AX1800、AX5、AX6、AX3600、AX9000等等 。因为我手里只能红米AX5，所以，我就以红米AX5演示一下。

在操作之前，可以先下载好相关的软件和文件（PUTTY.exe、Winscp.exe、红米AX5 1.026固件、红米AX5最新固件、HxD.exe、crash_unlock.img,这些文件我会放在百度网盘里共享）。为了提高成功率，尽量排除干扰，建议在操作时把WAN口网线拔掉断网，再把路由器的LAN口用网线连接电脑网口，如果电脑有其它网卡，也先断网。

LAN口连接电脑

我们首先要开启临时ssh和telnet端口，但是并不是所有的固件版本都是支持开启临时ssh和telnet端口。红米AX5 1.0.33以前的固件版本是支持的，所以需要先降级，我选择降级到1.026的版本。

在百度搜索 红米AX5 固件1.0.26，并下载固件。

按以下步骤刷入1.0.26版本的固件。输入路由器网关IP 192.168.31.1，登录管理后台。

选择下载好的固件

勾选 清除当前用户所有配置

正在刷入固件，此时路由器的灯变为黄色，等着就行。

等路由器变为蓝色了，就表示路由器固件已经刷好了。

重新在浏览器输入192.168.31.1登录管理后台。

因为刷入固件后就恢复了出厂设置，所以先按照以下步骤设置一下路由器。

输入一个WIFI密码，也是后台管理密码，不要太复杂，这是一个临时用的密码。

记下管理密码

固件已经完美降级到了1.0.26版本，那么现在就开始开启临时ssh和telnet端口吧。

重新在浏览器输入 192.168.31.1，并登录路由器管理后台。登录后复制浏览器地址栏里 stok= 后面那串字符，一直至/web。

把刚才复制的那串字符粘贴到下面代码里的stok=后面，然后复制到浏览器里，按回车打开。

http://192.168.31.1/cgi-bin/luci/;stok=/api/misystem/set_config_iotdev?bssid=Xiaomi&user_id=longdike&ssid=-h%3B%20nvram%20set%20ssh_en%3D1%3B%20nvram%20commit%3B%20sed%20-i%20's%2Fchannel%3D.*%2Fchannel%3D%5C%22debug%5C%22%2Fg'%20%2Fetc%2Finit.d%2Fdropbear%3B%20%2Fetc%2Finit.d%2Fdropbear%20start%3B%20echo%20-e%20'admin%5Cnadmin'%20%7C%20passwd%20root%3B

如果返回如下结果，表示代码执行成功，临时ssh和telnet端口成功开启。

ssh和telnet用户名是 root 密码是 admin

打开PUTTY软件，输入路由器网关192.168.31.1，选择SSH连接

进入SSH界面后输入用户名 root 密码是 admin（输密码时不会有显示，直接输入就行），回车登录。

然后输入或者复制粘贴以下指令（在SSH界面单击鼠标右键是粘贴）

cat /proc/mtd | grep bdata

显示bdata分区文件是mtd9（注意：每个型号的路由器bdata分区文件是不一样的，通过这个指令可以查看）

遂条输入或者复制粘贴以下指令，并回车执行（如果其它型号的路由器的bdata分区文件名不是mtd9,就把下面那些指令中的mtd9换成相应的bdata分区文件名就行）

mkdir /tmp/syslogbackup/

nanddump -f /tmp/syslogbackup/mtd9 /dev/mtd9

dd if=/dev/mtd9 of=/tmp/syslogbackup/mtd9

如下图所示，成功执行这些指令后，输入或者复制粘贴以下指令到浏览器，回车执行。

http://192.168.31.1/backup/log/mtd9

把mtd9这个文件保存在本地磁盘，注意：mtd9这个文件没有后缀。

这步是重中之重，也是最容易出现问题的地方。如果你没有基础，按照网上的方法修改，有50%的成功率就不错了。而如果按照我的步骤来做，基本上是100%成功。

以管理员方式运行HxD.exe这个软件(这步很重要)，打开mtd9文件

可以看到，这是一个用十六进制编码的文件。把这个文件拉到最后

可以看到最未尾那行是第0007FFF0行，记住这个行号，我们修改完后要做到一模一样，要不然会改变文件大小，就没办法用了。

把下面这条参数添加到文件里，从wl0_ssid=前面开始粘贴。有些型号的路由器是有telnet_en=0.ssh_en=0.uart_en=0.这条参数，那就直接把参数里的0修改成1变行。

telnet_en=1.ssh_en=1.uart_en=1.

把下面这条参数添加到最后面

.boot_wait=on

把参数中的 . 点的位置要改成00

确保所有的点 . 都修改成00后。按Ctrl+E。起始偏移输入 4 结束偏移输入 FFFF 然后确定。

继续添加校验码。点击菜单栏的分析>>检验码>>CRC-32，点击确定

本机获得的校验和是83 F4 65 0B 。倒序：0B 65 F4 83。

把校验和的倒序：0B 65 F4 83填入第一行，修改后大致是这个样子的（修改的方法就跟把点 . 改成00一样，注意大小写）。

修改完后，把文件拉到最后。

我们会发现修改后的文件比原来的文件多了两行多，这样就比原文件大了，是没有办法用的。所以，我们要删除一些数据，以达到跟原文件一样大小。我们删除一些无一些00数据就行。

拉到文件最上面，对照原文件，多出多少个数据，就删除多少个00。选中后删除就行。

删除后拉到文件最后面，可以看到跟原文件一样的多的数据了。最未尾那行是第0007FFF0行了。

保存修改好的mtd9文件，退出HxD。

安装并打开WinSCP软件,填入地址 192.168.31.1，文件协议选scp，用户名是root 密码是 admin

登录后分别把crash_unlock.img和修改后的mtd9文件上传到路由器的tmp文件夹

上传完毕后在SSH界面输入或复制粘贴以下指令，回车执行（crash_unlock.img是一个解锁文件）

mtd write /tmp/crash_unlock.img crash

然后输入指令 reboot 重启路由器。

重启路由器后再次打开PUTTY通过SSH登录路由器，在SSH界面输入或复制粘贴以下指令，回车执行

mtd write /tmp/mtd9 bdata

然后输入指令 reboot 重启路由器。

重启路由器后在浏览器上输入192.168.31.1登录路由器管理界面，执行一次恢复出厂设置。

按照文章中第一步降级的过程，把下载好的路由器最新版本固件刷入路由器。

每次恢复出厂设置和升级固件后，路由器的SSH端口都会关闭。但是路由器的telnet端口是永久开启的，所以升级固件后，我们需要通过telnet登录到路由器重新打开的SSH。

打开PUTTY软件，输入地址192.168.31.1 ，选择telnet连接类型

登录到路由器，如果需要用户名和密码，输入用户名root 密码 admin

然后遂条输入或者复制粘贴以下指令，并回车执行

这些指令是开启SSH端口的

输入或者复制粘贴以下指令，并回车执行

mtd erase crash

最后输入reboot重启路由器。

至此，路由器就经升级到最新版本的固件了，SSH和Telnet的端口也已经开启了。

有人会有疑问，为什么要折腾这么多？直接进行第二步开启临时ssh和telnet端口不就可以了吗？那是因为，最新版本的固件不支持开启临时ssh和telnet端口，所以我们需要在路由器里永久开启telnet端口，然后通过telnet端口开启SSH服务。下期我会和大家探讨一下通过SSH修改小米路由器的IPV6防火墙以实现无IP4公网内网穿透和安装各种插件实现你所需要的功能。

作者声明本文无利益相关，欢迎值友理性交流，和谐讨论～