搜索

[15462] 2020-06-06_Modbus安全：M340停启和流量分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-06_Modbus安全：M340停启和流量分析 M o d b u s 安 全 ： M 3 4 0 停 启 和 流 量 分 析 原 创   黄 一 1 1 3 5 3 0   F r e e B u f   2 0 2 0 - 0 6 - 0 6 前 言 前 言 随 着 施 耐 德 （ 随 着 施 耐 德 （ S c h n e i d e r ） 新 款 的 ） 新 款 的 M o d i c o n   M 3 4 0 可 编 程 控 制 器 集 各 种 强 劲 功 能 和 创 新 设 计 于 一 身 ， 为 复 杂 设 备 可 编 程 控 制 器 集 各 种 强 劲 功 能 和 创 新 设 计 于 一 身 ， 为 复 杂 设 备 制 造 商 和 中 小 型 项 目 提 供 各 种 自 动 化 功 能 的 最 佳 技 术 和 高 效 、 灵 活 、 经 济 性 的 解 决 方 案 。 且 制 造 商 和 中 小 型 项 目 提 供 各 种 自 动 化 功 能 的 最 佳 技 术 和 高 效 、 灵 活 、 经 济 性 的 解 决 方 案 。 且 M o d i c o n   M 3 4 0 充 充 分 支 持 工 业 和 基 础 设 施 自 动 化 控 制 系 统 的 分 支 持 工 业 和 基 础 设 施 自 动 化 控 制 系 统 的 “ 透 明 就 绪 透 明 就 绪 ” 架 构 ， 成 为 架 构 ， 成 为 M o d i c o n   P r e m i u m 和 和 Q u a n t u m 系 列 产 品 线 的 最 系 列 产 品 线 的 最 佳 拓 展 。 在 灵 活 强 大 的 佳 拓 展 。 在 灵 活 强 大 的 U n i t y 软 件 配 合 下 ， 备 受 众 多 企 业 的 喜 爱 。 软 件 配 合 下 ， 备 受 众 多 企 业 的 喜 爱 。 随 着 前 几 篇 对 M o d b u s   P L C 的 读 写 介 绍 ， 相 信 大 家 对 M o d b u s 协 议 已 经 比 较 熟 悉 了 ， 这 次 我 为 大 家 演 示 S c h n e i d e r 的 P L C M 3 4 0 停 启 操 作 以 及 中 间 涉 及 的 流 量 分 析 。 M 3 4 0 介 绍 介 绍 施 耐 德 在 整 合 了 M o d i c o n 和 T E 品 牌 的 自 动 化 产 品 后 ， 将 U n i t y   P r o 软 件 作 为 未 来 中 高 端 P L C 的 统 一 平 台 。 支 持 Q u a n t u m 、 P r e m i u m 和 M 3 4 0 三 个 系 列 。 施 耐 德 大 型 P L C 以 昆 腾 系 列 为 代 表 ， 中 型 的 有 P r e m i u m 、 M o m e n t u m 、 M 3 4 0 等 ， 小 型 的 有 T w i d o 等 。 如 今 的 控 制 系 统 和 工 厂 自 动 化 系 统 ， 以 太 网 的 应 用 几 乎 已 经 和 P L C 一 样 普 及 。 且 施 耐 德 M 3 4 0 采 用 了 以 太 网 的 网 口 连 接 方 式 ， 通 过 以 太 网 不 仅 可 以 下 载 程 序 ， 也 可 以 用 于 与 第 三 方 设 备 进 行 以 太 网 通 讯 ， 以 及 运 用 在 P L C 与 P L C 之 间 的 数 据 交 换 。 当 然 ， 大 容 量 的 内 存 、 高 可 靠 性 、 高 性 能 金 属 机 架 、 内 置 W E B 服 务 器 和 支 持 热 插 拔 功 能 等 多 数 优 点 ， 已 让 M 3 4 0 使 用 越 来 越 广 泛 。 停 启 准 备 停 启 准 备 其 实 想 偷 个 懒 ， 找 了 一 大 堆 资 料 ， 也 没 找 到 关 于 新 的 P L C   M 3 4 0 停 启 的 E x p l o i t ， 都 是 关 于 老 版 本 Q u a n t u m 系 列 1 4 0 的 ， 如 下 图 那 种 ， 并 不 想 用 这 个 ， 因 为 1 4 0 可 能 快 停 产 了 ， M 3 4 0 、 M 5 8 0 才 是 现 在 厂 家 大 力 推 广 的 用 来 替 代 1 4 0 的 新 产 品 。 最 后 一 脸 坦 然 … … 好 吧 ， 是 越 想 越 气 ， 没 办 法 ， 只 能 自 己 动 手 了 ， 最 直 接 的 办 法 ， 用 上 位 机 的 编 程 软 件 进 行 停 启 再 抓 包 进 行 流 量 分 析 ， 提 取 停 启 的 数 据 包 再 自 己 来 验 证 。
抓 取 流 量 抓 取 流 量 这 一 步 比 较 简 单 ， 我 开 启 w i r k s h a r k 实 时 抓 取 流 量 后 ， 找 到 S c h n e i d e r 编 程 软 件 连 接 上 的 M 3 4 0 ， 然 后 点 击 下 图 中 的 S T O P 按 钮 ， 停 止 P L C   M 3 4 0 。 因 为 P L C 的 编 程 软 件 部 署 在 上 位 机 上 ， 所 以 我 抓 取 到 了 上 位 机 和 M 3 4 0 的 通 信 流 量 ， 如 下 图 所 示 ： 分 析 流 量 分 析 流 量
首 先 需 要 讲 清 楚 ， 关 于 M o d b u s 读 写 线 圈 和 寄 存 器 ， 是 不 需 要 通 过 任 何 通 信 验 证 的 ， 而 关 于 M o d b u s   P L C 的 停 启 ， 是 需 要 引 入 S e s s i o n   K e y 这 个 概 念 的 。 S e s s i o n   K e y   是 会 话 使 用 的   S e s s i o n   值 ， 如 果   S e s s i o n   值 不 正 确 ， 则 P L C 会 直 接 主 动 终 止 通 信 。 F C c o d e   是   M o d b u s   协 议 的 功 能 码 ， 施 耐 德 默 认 使 用   0 x 5 a   即   9 0   作 为 通 信 的 功 能 码 。 下 图 是   M o d b u s   协 议 数 据 格 式 ： 那 大 家 会 问 了 ， S e s s i o n 值 是 怎 么 来 的 呢 ， 当 我 们 想 停 启 P L C 的 时 候 ， P L C 会 主 动 返 回 （ R e s p o n s e ） 一 个 S e s s i o n 值 给 我 们 ， 我 们 需 要 找 到 那 个 数 据 包 。 正 如 我 这 边 找 到 的 返 回 数 据 包 ， 查 看 在 D a t a 里 面 ， 最 后 两 位 十 六 进 制 0 x 3 3 ， 这 个 就 是 S e s s i o n   值 ： 那 我 怎 么 判 定 这 个 数 据 包 携 带 的 就 是 S e s s i o n 值 呢 ， 请 看 下 图 ， 红 色 代 表 上 位 机 请 求 包 ， 蓝 色 代 表 返 回 包 ， 当 1 中 返 回 携 带 了 0 x 3 3 这 个 S e s s i o n 值 之 后 ， 之 后 2 中 所 有 红 色 的 请 求 包 都 会 带 上 0 x 3 3 这 个 S e s s i o n 值 ， 在 抓 取 到 的 数 据 包 中 很 好 找 ， 下 图 是 我 使 用 w i r e s h a r k 追 踪 T C P 流 看 到 的 ：
停 启 停 启 M 3 4 0 当 我 们 获 取 到 S e s s i o n   I D 之 后 就 很 简 单 了 ， 可 以 通 过 任 意 一 台 能 连 接 P L C 设 备 的 电 脑 发 送 控 制 C P U 停 启 的 命 令 ， 下 面 是 我 用 p y t h o n 通 过 s o c k e t 模 块 简 单 构 造 的 一 个 数 据 包 ， 其 中 0 x 3 3 是 之 前 抓 包 得 到 的 S e s s i o n   I D ， 4 1 功 能 码 代 表 关 闭 停 止 P L C ， 4 0 功 能 码 代 表 的 是 开 启 P L C ， 发 送 后 成 功 关 闭 P L C ： 下 方 是 M o d b u s 部 分 常 用 的 功 能 码 ， 大 家 可 以 了 解 下 ：
读 写 线 圈 和 寄 存 器 读 写 线 圈 和 寄 存 器 停 启 的 讲 完 了 ， 我 想 还 是 再 补 充 一 些 读 写 线 圈 和 寄 存 器 的 流 量 是 啥 样 的 吧 ， 也 是 很 有 意 思 的 。 众 所 周 知 ， M o d b u s   协 议 使 用 串 口 传 输 时 可 以 选 择 R T U 或 A S C I I 模 式 ， 并 规 定 了 消 息 、 数 据 结 构 、 命 令 和 应 答 方 式 并 需 要 对 数 据 进 行 校 验 。 A S C I I   模 式 采 用 L R C 校 验 ， R T U 模 式 采 用 1 6   位 C R C 校 验 。 但 是 通 过 以 太 网 传 输 时 使 用 T C P ， 这 种 模 式 不 使 用 校 验 ， 也 就 是 上 述 说 的 只 要 能 连 接 上 就 能 读 取 线 圈 和 寄 存 器 。 下 图 是 我 读 取 线 圈 抓 取 的 流 量 包 ： 1 、 选 择 读 取 的 U I D 为 1 2 、 F u n c t i o n   C o d e ： R e a d   C o i l s 读 取 线 圈 3 、 右 边 是 P L C 返 回 的 包 ， 显 示 线 圈 里 的 值 下 图 是 我 写 入 寄 存 器 的 流 量 包 ：
1 、 选 择 写 入 的 U I D 为 1 2 、 F u n c t i o n   C o d e ： w r i t e   S i n g l e   R e g i s t e r 写 入 单 个 寄 存 器 3 、 D a t a 为 0 x 0 8 代 表 写 入 的 值 是 0 x 0 8 总 结 总 结 由 我 上 述 的 演 示 可 以 看 出 ， M o d b u s   协 议 通 信 过 程 中 ， 地 址 和 命 令 全 部 采 用 明 文 传 输 ， 因 此 数 据 可 以 很 容 易 的 被 攻 击 者 捕 获 和 解 析 ， 为 攻 击 者 提 供 便 利 。 同 时 在 M o d b u s   协 议 通 信 过 程 中 ， 没 有 任 何 认 证 方 面 的 相 关 定 义 ， 攻 击 者 只 需 要 找 到 一 个 合 法 的 地 址 就 可 以 建 立 一 个 M o d b u s   通 信 会 话 ， 轻 易 发 送 任 意 功 能 码 进 行 攻 击 ， 而 其 中 的 S e s s i o n   值 也 很 容 易 获 取 。 这 些 都 是 根 本 上 M o d b u s 协 议 的 安 全 问 题 ， 我 们 只 能 通 过 一 些 外 部 措 施 来 进 行 保 护 和 防 御 ， 例 如 使 用 M o d b u s   系 统 专 用 的 异 常 行 为 检 测 设 备 和 即 时 更 新 使 用 最 新 的 P L C 固 件 和 软 件 等 ， 来 提 高 M o d b u s 系 统 的 安 全 性 。 * 本 文 作 者 ： 本 文 作 者 ： k i r a z h o u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理