ModbusPLC攻击分析：从ModbusPoll/Slave到M340

前言&＃xff1a;
工业控制已从单机控制走向集中监控、集散控制&＃xff0c;如今已进入网络时代&＃xff0c;工业控制器连网也为网络管理提供了方便。Modbus 就是工业控制器的网络协议中的一种。在2004年&＃xff0c;中国国家标准委员会正式把Modbus作为了国家标准&＃xff0c;开启了Modbus为中国工业通信做贡献的时代。
本文主要研究Modbus Poll/Salve模拟器的使用以及对Schneider&＃xff08;施耐德&＃xff09;PLC M340的连接测试&＃xff0c;文中涉及一些测试思路可能存在不严谨之处&＃xff0c;欢迎大家指正哈。

协议介绍&＃xff1a;
Modbus一种应用层消息传递协议&＃xff0c;位于OSI模型的第7级&＃xff0c;提供在不同类型的总线或网络上连接的设备之间的客户端/服务器通信。Modbus传输方式包括ASCII、RTU、TCP三种报文类型&＃xff0c;协议本身并没有定义物理层&＃xff0c;只是定义了控制器能够认识和使用的消息结构&＃xff0c;通过对数据的校验来区分。文中均采用Modbus TCP协议来进行通信。

这里我主要介绍一下文中涉及的概念以及小伙伴们必须知道的Modbus的基础知识&＃xff0c;详细的概念我就不展开介绍了&＃xff0c;大家可以阅读&＃xff1a;
https://www.freebuf.com/articles/ics-articles/148637.html
下表是由Modbus从设备提供给Modbus主设备的对象类型的表&＃xff1a;
Object type Access Size Address Space
线圈Coil Read-write 1 bit 00001 - 09999
离散输入Discrete input Read-only 1 bit 10001 - 19999
输入寄存器Input register Read-only 16 bits 30001 - 39999
保持寄存器Holding register Read-write 16 bits 40001 - 49999

模拟器介绍&＃xff1a;
要介绍Modbus的模拟器&＃xff0c;就得从它的通信方式开始介绍了。Modbus使用一种简单的Master and Slave主从协议进行通信。客户机作为主站&＃xff0c;向服务器发送请求&＃xff1b;服务器&＃xff08;从站&＃xff09;接到请求后&＃xff0c;对请求进行分析并作出应答。一般使用上&＃xff0c;监控系统(HMI)都为Master&＃xff0c;而PLC、电表、仪表等都为Slave。
所以&＃xff0c;模拟器Modbus Poll就是Master&＃xff0c;Modbus Slave就是Slave&＃xff0c;和S7系列模拟器的Client和Server是一个道理。
下载链接&＃xff1a;https://www.modbustools.com/download.html

模拟器连接&＃xff1a;
接下来就是实际连接啦&＃xff0c;首先我们设置好我们虚拟的PLC&＃xff08;Modbus Slave&＃xff09;&＃xff0c;如下图所示&＃xff1a;
1、点开上方connection&＃xff0c;选择了连接协议为Modbus TCP/IP
2、默认地址为127.0.0.1无需设置&＃xff0c;到时候Modbus Poll就连这个地址&＃xff0c;其他的端口为502和Ipv4默认。
3、ID默认为1&＃xff0c;是Slave的设备地址&＃xff0c;F&＃61;03代表03的功能码
4、设置好一些供Poll读取的数据

如下图所示&＃xff0c;这是Modbus Poll连接好Slave的示意图&＃xff0c;也读取到了Slave中设置好的寄存器的值&＃xff0c;其中Tx&＃61;112代表向PLC发送数据帧的次数&＃xff0c;Err &＃61;0代表通讯错误次数&＃xff0c;互相连接上之后就不会再出现No connection的红字。

因为Modbus能访问一条数据链路上的254个设备&＃xff0c;Poll也支持读写同时来自不同设备的不同数据内容。下图显示了两个打开的窗口&＃xff0c;从从站ID 1读取10个保持寄存器&＃xff0c;从从站ID 2读取10个保持寄存器。

模拟器之间的连接就暂时只讲这么多&＃xff0c;其实还有很多功能&＃xff0c;例如读取输入寄存器和线圈、监控数据流量等&＃xff0c;这些在接下来主要讲连接Schneider的PLC设备的时候具体说。

Modbus Poll 连接Schneider M340&＃xff1a;
和西门子PLC需要编程软件博途一样&＃xff0c;这次Schneider&＃xff08;施耐德&＃xff09;PLC在上位机部署的编程软件用的是EcoStruxure Control Expert 来连接M340设备&＃xff0c;如下图所示&＃xff1a;

Modicon M340是全球能效管理专家施耐德电气于2007年推出的高性能中型PLC平台&＃xff0c;拥有“精巧、可靠、创新、易用、高性价比”等诸多新亮点&＃xff0c;适用于中小型项目、复杂机械及过程装备&＃xff0c;实验对象如下图所示&＃xff1a;

首先我们先在编程软件上查看PLC的IP地址&＃xff0c;用于Modbus Poll的连接&＃xff1a;

接着我们通过之前的叙述了解到模拟器连接Slave&＃xff08;PLC&＃xff09;需要知道设备ID &＃xff0c;所以需要特地查看一下&＃xff1a;

然后我们选择读取AI&＃xff1a;Analog Input&＃xff08;模拟输入&＃xff0c;输入寄存器&＃xff09;中的值&＃xff0c;如下图所示&＃xff1a;

最后通过对Modbus Poll设置好连接PLC的IP、ID以及Function进行设置&＃xff0c;最终连接到M340的寄存器区域读取到数据。

总结&＃xff1a;
由上述可见&＃xff0c;虽然Modbus 协议获得了广泛的应用&＃xff0c;但是在实现具体的工业控制系统时&＃xff0c;安全问题在却很少被注意到。首先&＃xff0c;TCP /IP 协议自身存在的安全问题不可避免地会影响到工控网络安全&＃xff0c;例如中间人攻击&＃xff0c;拒绝服务等攻击手段都会影响到Modbus系统安全&＃xff0c;还有Modbus本身缺少身份认证&＃xff0c;功能码滥用等问题都需要注意。这些安全问题都需要通过安全设计、安全审计和入侵防御等安全措施进一步深入的解决。
本篇文章是对Modbus PLC基础性的研究&＃xff0c;主要关于模拟器的使用以及连接使用PLC的一些基本概念。后续会对Schneider PLC进行更深入的探讨&＃xff0c;主要关于Modbus专门的Smod渗透框架研究以及Modbus流量分析等。

​如果想了解更多安全知识&＃xff0c;或者有问题&＃xff0c;都可以关注以下公众号&＃xff0c;私信我&＃xff1a;