Взлом вебморды D-Link DIR-300 NRU-B6

Повторюсь, я не уверен, возможно ли это технически.

Не совсем понятен ход мысли в первом варианте. Как я не имея пароля от telnet/вебморды и не вскрывая смогу прошить что-то?
Про второй вариант совершенно не ясно. Можно ссылку на статью про подобное?

ecos.sourceware.org/docs-3.0/pdf/ecos-3.0-redboot-guide-a4.pdf

Судя по всему, вам надо
1) Получить доступ к RedBoot (Читайте, как поставить на DIR-300 DD-WRT, там есть подробно про доступ)
2) Определить адреса памяти NVRAM (вот тут не знаю, где)
3) Прочитать NAND командой fis read\fis load в память
4) Посмотреть память командой dump

Из подводных камней:
1. dump «выдает» хекс, а не текст.
2. Адрес надо будет уточнять
3. nvram может быть сжата и вам прийдется танцевать с этим как с gzip\zip данными

lexfrei, ответил ниже

lexfrei: RedBoot (он же «Режим восстановления») не требует логина и пароля. При включении, примерно через 5 секунд после включения, на 1 секунду роутер себе берет IP 192.168.20.81 и открывает TELNET на порту 9000. Если в этот момент к нему прицепиться TELNET и послать ^C, то он остановит дальнейшую загрузку и останется в режиме «Crash Recovery», а точнее — в консоли RedBoot.

Таким образом можно читать и писать память и флеш. Посмотрите статью Установка DD-WRT на DIR-300, там подробно описан вход в RedBoot со скриптами, танцами, картами и девочками.

После попадания в RedBoot, у вас появится возможность читать NAND в память и память выводить на экран в HEX. (Гайд по RedBoot). Далее вам необходимо найти в дампе NAND то, что вы уже знаете (например, SSID или логин PPPoE) и искать рядом. Проблемой может стать то, что NVRAM может быть пожат, хотя, маловероятно.

Повторюсь, это теория.

Да, RedBoot подымается он его WAN-интерфейсе, а не на LAN!

Судя по всему, RESET держать не обязательно — можно просто переткнуть питание
Также вам могут помочь спецификации wiki.openwrt.org/toh/d-link/dir-300
Если ей верить, то nvram (boardconfig) лежит по адресам 0xbffe0000-0xbfff0000, хотя это догадки лишь.

Соответсвенно, команды (Предполагаю, судя по доке)
# fis list Name FLASH addr Mem addr Length Entry point ...... boardconfig 0xbffe0000 0xbffe0000 0xbfff0000 0x00000000 # fis load -b %{FREEMEMLO} boardconfig boardconfig loaded into 0x12341234-0xXXXXXXXX #dump -b 0x12341234 -l 65535

Пробовал оба способа. Первые 10 страниц гугла я уже проверил.