工控系统安全测试之扫描篇

零、前言

众所周知，NMAP是一款强大的网络扫描工具。除了普通的TCP/IP网络扫描之外，NMAP的扩展脚本功能为我们提供了更为广阔的应用范围。

今天light教授继续抛砖，简单介绍一下使用第三方工控安全扫描插件，让NMAP扫描、检测工控系统的方法。

壹、工控协议

Ethernet/IP

一个面向工业自动化应用的工业应用层协议。它建立在标准UDP/IP与TCP/IP协议之上，利用固定的以太网硬件和软件，为配置、访问和控制工业自动化设备定义了一个应用层协议。

CIP

通用工业协议，被deviceNet、ControINet、EtherNet/IP三种网络所采用。

PROFIBUS

一种用于工厂自动化车间级监控和现场设备层数据通信与控制的现场总线技术，可实现现场设备层到车间级监控的分散式数字控制和现场通信网络。

DNP3

DNP(Distributed Network Protocol,分布式网络协议)是一种应用于自动化组件之间的通讯协议，常见于电力、水处理等行业。简化OSI模型，只包含了物理层，数据层与应用层的体系结构（EPA）。SCADA可以使用DNP协议与主站、RTU、及IED进行通讯。

ICCP

电力控制中心通讯协议。

OPC

过程控制的OLE （OLE for Process Control）。OPC包括一整套接口、属性和方法的标准集，用于过程控制和制造业自动化系统。

BACnet

楼宇自动控制网络数据通讯协议（A Data Communication Protocol for Building Automation and Control Networks）。BACnet 协议是为计算机控制采暖、制冷、空调HVAC系统和其他建筑物设备系统定义服务和协议。

Siemens S7

属于第7层的协议，用于西门子设备之间进行交换数据，通过TSAP，可加载MPI,DP,以太网等不同物理结构总线或网络上，PLC一般可以通过封装好的通讯功能块实现。

其他工控协议

IEC 60870-5-104、Tridium Niagara Fox、Crimson V3、OMRON FINS、PCWorx、ProConOs、MELSEC-Q

部分协议对照表

贰、扫描插件

这次我们使用github上（https://github.com/digitalbond/Redpoint）提供的部分工控系统扫描插件，先来看看有哪些功能。

BACnet-discover-enumerate.nse

用途：识别和枚举BACnet设备

nmap -sU -Pn -p 47808 -n --script BACnet-discover-enumerate <host>

enip-enumerate.nse

识别和枚举Rockwell Automation（罗克韦尔自动化）等厂商的EtherNet/IP设备

nmap -p 44818 --script enip-enumerate <host>

fox-info.nse

识别和枚举Niagara Fox（尼亚加拉福克斯）设备

nmap -p 1911 --script fox-info <host>

modicon-info.nse

识别和枚举Schneider Electric（施耐德电气）Modicon（子品牌）的PLC设备

nmap -p 502 --script modicon-info.nse -sV <host>

omron-info.nse

识别和枚举Omron（欧姆龙）的PLC设备

nmap -p 9600 --script omrontcp-info <host> 

nmap -sU -p 9600 --script omronudp-info <host>

pcworx-info.nse

识别和枚举使用了PC Worx的PLC设备

nmap -p 1962 --script pcworx-info -sV <host>

proconos-info.nse

识别和枚举使用了ProConOS的PLC设备

nmap -p 20547 --script proconos-info -sV <host>

s7-enumerate.nse

识别和枚举西门子SIMATIC S7系列PLC设备

nmap -p 102 --script s7-enumerate -sV <host>

叁、实例演示

1、下载所有插件到本地（https://github.com/digitalbond/Redpoint）

2、所有插件复制到nmap的script文件夹下

3、使用相应脚本命令对目标进行检测

参考资料：

https://github.com/digitalbond/Redpoint

https://www.google.com

http://drops.wooyun.org/tips/8594

http://plcscan.org/blog/tag/plc%E5%8D%8F%E8%AE%AE/

本文始发于微信公众号（WhiteCellClub）：工控系统安全测试之扫描篇