求智电生活SG-S16W1插座的云端控制配置

我想喝果汁

主题：求教｜国电通「智生活」SG-S16W1 系智能插座（RTL8710AF/RS8710，带红外+计量）云端控制协议逆向与本地复活思路
大佬好，占几分钟。我手上一台早期国网系智能插座，原厂云已停服，想搞清楚它的云端控制配置结构，看能不能本地模拟或重构控制面。背景整理如下：
1. 设备身份

- 品牌/生态：北京国电通网络技术有限公司「智生活 / 智电生活」App 生态
- 同系对照样本：国电通 SG-S16W1（16A，WiFi 方案 RS8710，数码之家有拆机帖）
- 主控：Realtek RTL8710AF（Ameba1），模组丝印 RS8710AFP V1.0
- 协处理：N76E003AQ20
- 计量：疑似 F130G8
- 能力：继电器通断 + 电压/电流/功率计量 + 红外学习/发射
- MAC：A4:33:D1:01:48:46，内网 IP 192.168.3.15
- 约束：不拆机、不接串口、不改硬件

2. 已确认的网络行为

- 配网：瑞昱 SimpleConfig，UDP 18864/8863/8864，PIN
"57289961"，AES-KW + HMAC-SHA1 + MD5，TLV profile；用
"--replay branch_wanqian.pcap" 实机可命中配网
- 控制云链（已死）：
   - App→云
"zdsh.sgcall.cn:7193"，requestCode 1112/1113/1120，抓到过真实报文
   - 设备→云
"smartplug.sgcall.cn:7788"，GET
"/web/configinfonew"，原设计每 6s 重连
- 本地端口：9527，ABox 体系
"libABIoTSDK.so"，KEY
"AmazingBOXMEMBER"，magic
"111d1e1f" + AES-128-CBC；IDA 确认目前只看到
"setRoute(1,2)"，暂未发现独立 on/off 命令字
- 博联 EspTouch/SoftAP/15000 配网均已排除；与 BroadLink 有历史合作但本机不是博联原厂协议

3. 核心疑问（想请教的方向）

Q1：配网协议里是否可能嵌套控制/配置上下文？
SimpleConfig TLV 标准部分只负责 SSID/密码，但公版固件常在自定义 TLV 里塞设备ID、云地址、会话密钥种子、初始动作。我怀疑“配网完成”那一刻设备已经把控制关系固化进 NVS，之后只是在等一个不会再来的云。这个思路在 Ameba 公版里常见吗？
Q2：云端
"/web/configinfonew" 的响应结构有没有人见过？
设备每次重连都拉这个接口，应该是下发路由表/心跳配置/能力位。响应格式未知，26 个候选结构里只验了 8 个全被拒。想知道国电通或同方案（Ameba+ABox SDK）的标准响应骨架大概长什么样。
Q3：9527 端口有没有隐藏控制面？

"setRoute" 只是写目标地址，真正开关/红外大概率在另一个未暴露的 sub-opcode。有没有人拆过 ABox
"libABIoTSDK" 的完整命令字表？
Q4：能否在局域网伪造“最小可用云”让设备复活？
思路：用静态 ARP + 本地 DNS 把
"smartplug.sgcall.cn" 指到本机，按推测的 configinfonew 结构回包，看设备是否进入“已配置”状态、是否开放后续控制帧。Ameba RTL8710AF 原生支持 TCP/UDP Server、MQTT、HTTP 客户端 ，固件层应该留了本地通信能力，只是原云死了没入口。
4. 我已经有的材料

- 完整配网 pcap（含 replay 命中）
- 智生活 App 7.0.9 APK（包名
"com.smartlife.androidphone"）
-
"libABIoTSDK.so" 初步 IDA 标注
- 同系拆机照片参照

5. 不想走的路（提前说明，省大家时间）

- 不刷 Tasmota/OpenBeken（RTL8710AF 不是 ESP，且我不拆机）
- 不买新设备替代（先想把这台救活，哪怕只本地控）
- 不碰公网/别人设备，纯自用安全研究

问题本质：“云端砖化”设备，固件完好、硬件完好，只差把控制协议还原出来 。
想请教有没有人见过国电通智生活同系协议、或 Ameba+ABox 体系的本地控制重构经验。
任何线索（哪怕是指个方向）都感谢。

我想喝果汁

游客请登录后查看回复内容