Patrzac na to to wypluwa uboot:

lc=tftpboot 0x84000000 ${dir}cdt-AP.DK04.1-C1.bin&&sf probe&&sf erase 0xc0000 +$filesize&&sf write $fileaddr 0xc0000 $filesize
lp=tftpboot 0x84000000 ${dir}norplusnand-system-partition-ipq40xx.bin&&sf probe&&sf erase 0x40000 +$filesize&&sf write $fileaddr 0x40000 $filesize
lr=tftpboot 0x84000000 ${dir}root_uImage&&nand erase 0x1000000 0x800000 &&nand write_partition 0x84000000     0x1000000     0x800000 &&nand erase 0x1800000 0x1D00000 &&nand write_partition 0x84800000     0x1800000     0x1D00000
lrb=tftpboot 0x84000000 ${dir}delta.bin&&nand erase 0x3500000 0x1900000&&nand write $fileaddr 0x3500000 $filesize
lrs=tftpboot 0x84000000 ${dir}root_uImage_s&&nand erase 0x1800000 0x1D00000&&nand write $fileaddr 0x1800000 $filesize
lu=tftpboot 0x84000000 ${dir}uboot.bin&&sf probe&&sf erase 0xf0000 +$filesize&&sf write $fileaddr 0xf0000 $filesize
lw=tftpboot 0x84000000 ${dir}web.img&&nand erase 0x1000000 0x800000&&nand write $fileaddr 0x1000000 $filesize

to raczej są to pliki do znalezienie w elisie w folderze ../bin/upgrade/

w sofcie TIM tez widac je w folderze:
389010B0718BD_TIMITMF286DMODULEV1.0.0B06\CR_TIMITMF286DV1.0.0B07\9.CPE_Serial_Port_Download_File\

@Cezar
Czy można uznać plik
norplusnand-system-partition-ipq40xx.bin
za obraz ustawiający partycje?

tak to wyglada w srodku

Prując binararnie image partycji widać parę ciekawych rzeczy.
tutaj MF286D playa chyba może szukać firmware OTA

https://ip.ztetcm.cn/cnip/eservlet
https://upgrade.ztems.com/UpdateEntry.aspx

trza ustalić hasła na włoskim forum albo szukać w obrazach czegoś o nazwie default_config.
Coś mi świta że widziałem u Włochów  ze druga literę hasła z naklejki trzeba dac z malej litery i obciąć dwa ostatnie znaki

Oba ładowałem. Na TIM coś modem świecił się na czerwono , nie wnikałem czego mu potrzeba, na Elise normalnie internet był.

Wygląda ze oni biorą password wifi z mikrosyfu po użyciu WPSa. I to jest wtedy login. Podejrzewam ze bedzie się różniło od tego z naklejki w  sposób jak opisywałem.

Nie uzywam mikrosyfu to nie powiem czy to możliwe

Dziś z nudów wgrałem jeszcze raz TIM, i faktycznie hasło admin działa.
No to uruchomiłem ZTE_Sales_Update_Framework , no i tym włoskim sposobem bez problemu poszła zmiana na Elise. Również modem przeszedł na Elise. Mając dostęp do konsoli hasło do wifi jest do wyciągnięcia ( choćby przez nv show | grep password) , i faktycznie w Elise hasło do wifi jest również hasłem do web ( ale niestety jest to hasło inne niż na naklejce z Play). W każdym razie była Elise B03 , za chwilę przyszła aktualizacja do B06 , i ona też przeszła pomyślnie.
Narazie jeszcze tej nowej B11D nie widzi...
Także teoretcznie z Playa zrobił się Elise.

Wg mnie obojętnie ,czy to jest Play czy Elisa ,czy TIM , sprzęt jest dokładnie ten sam i za wiele się tu zmienić nie może. Wgrasz do Playa web czyli mtd8 z Nodric , i masz te same możliwości...
Play jest tylko upośledzony ,bo w menu nie ma wyboru pasm , i nawet głupiego PINu nie umie zapamiętać.
Jeśli chodzi o możliwości web , to pod tym względem Nordic ma je jeszcze większe ( tryb nocny , wybor pasma upload ) , tego w Elise B06 nie ma.

Natomiat do TIMa przechodziłem przez root_uImage ( i tylko on) , komendami w sumie z printenv ( bo ten plik zawiera dwie partycje mtd8 i mtd9 , stąd dwa razy się go poźniej wgrywa do pamięci).

Te dumpy poszczególnych partycji ,co wrzucałem na początku tego wątku są z Nordic. Sęk w tym ,że najprawdopodobniej wrzucenie Nordic do mtd8 i mtd9  pewnie zadziała , ale ewentualny fota spowoduje ,że będzie niepowodzenie (choć sam router sie zaktualizuje to będzie niezgodność modemu).

A tak wracając do odpalenia na tym OpenWrt, próbował ktoś z Was zbudować na to telnetd czy innego dropbeara?
Chyba spróbuję polinkować statycznie któreś z tych. Coś czuję, że powinien zadziałać ten sam sploit na root shell co w innych ZTE, tyle tylko że z binarki odpalonej z pendrive. Grzebiąc po binarkach dostępnych w obrazie niespecjalnie widzę takie, które w łatwy sposób się do tego nadawały.

@Królik wrzuciłbyś swoje dotychczasowe device tree, czy ewentualnie inne patche?
Edit: właśnie buszuję troszkę po shellu, po ADB też wbiłem się na modem przez zwykłe `adb shell`, identycznie jak niegdyś w MF283+.

W środku rootfs_image w tym dziwnym folderze namierzyłem:

software_version=WEB_TMOPLMF286V1.0.0B03
inner_software_version=WEB_TMOPLMF286RV1.0.0B03

Czyli to wyglada na polskie t-mobile mf286R