Modbus利用手法与规则监测

admin 2022年10月5日16:11:16评论30 views字数 672阅读2分14秒阅读模式

前言

Modbus协议是一种已广泛应用于当今工业控制领域的通用通讯协议。通过此协议,控制器相互之间、或控制器经由网络(如以太网)可以和其它设备之间进行通信。Modbus协议使用的是主从通讯技术,即由主设备主动查询和操作从设备。一般将主控设备方所使用的协议称为Modbus Master,从设备方使用的协议称为Modbus Slave。典型的主设备包括工控机和工业控制器等;典型的从设备如PLC可编程控制器等。今天例子利用模拟器,带来模拟读寄存器,写寄存器,Force Listen Only Mode攻击的协议和IDS规则分析。

跟suricata相关的在之前病毒分析的时候有提到:

IDS规则

达达,公众号:Th0r安全PC端恶意代码分析Lab14.1-3:IDS标记

正文


针对modbus的协议遵守:


  • 主设备向从设备发送请求

  • 从设备分析并处理主设备的请求,然后向主设备发送结果

  • 如果出现任何差错,从设备将返回一个异常功能码 

所以这里需要两个模拟软件,Poll和Slave。

Modbus利用手法与规则监测

Modbus利用手法与规则监测

将主和从模拟,配置好,发送修改请求。

Modbus利用手法与规则监测

Modbus利用手法与规则监测

Modbus利用手法与规则监测

利用MSF的模块,对其进行读取寄存器

Modbus利用手法与规则监测

Modbus利用手法与规则监测

下面是写寄存器

Modbus利用手法与规则监测

流量形式:

Modbus利用手法与规则监测

这里下载前人的规则和流量包来学习

https://github.com/digitalbond/Quickdraw-Snort

Modbus利用手法与规则监测

这里一条规则是Force Listen Only Mode的攻击

查看规则的定位,偏移两处00 00,偏移7 08 00 04,这里要注意的偏移是modbus字段位置的偏移,因为用到的是如图。

Modbus利用手法与规则监测

查看流量包,偏移和长度一致。

Modbus利用手法与规则监测


原文始发于微信公众号(Th0r安全):Modbus利用手法与规则监测

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年10月5日16:11:16
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   Modbus利用手法与规则监测http://cn-sec.com/archives/1329569.html

发表评论

匿名网友 填写信息