Modbus协议安全挑战：典型攻击手段深入剖析

Modbus协议作为一个久经考验、值得信赖的通信协议，被广泛应用于工业领域。然而，随着其普及度的提升，Modbus协议面临的安全隐患也逐渐浮出水面，包括身份认证缺失、权限管理不足、加密机制缺乏以及完整性检测失效等问题。为了提升工业控制系统的安全防护能力，本文将对Modbus协议所遭遇的典型攻击手段进行深入研究与分析，旨在提高整个工控系统的安全防范水平。

01、协议介绍

Modbus协议是一种串行通信协议，被广泛应用于工业控制系统中。它是一种主从模式的协议，即主设备发送带有功能码的请求帧，从设备接收到请求帧后根据功能码执行相应的操作，并将结果存放在响应帧的数据区中，主设备接收到响应帧后进行解码并处理。

Modbus协议包括ASCII、RTU和TCP三种传输格式，主要由以下五个部分组成：

1. 数据帧：用于存放请求或响应的数据。

2. 地址码：用于标识从设备地址。

3. 功能码：表示请求类型。

4. 数据区：存放请求或响应的数据。

5. 校验码：用于校验数据完整性。

Modbus协议支持串行和以太网两种传输方式。在串行传输中，主设备通过串口发送RTU格式的数据帧，从设备接收到数据帧后进行解码并响应;在以太网传输中，主设备将数据帧发送至从设备的IP地址，从设备通过网络接口接收到数据帧并进行解码。

尽管Modbus协议在工业界应用广泛，但其安全性方面的不足也日渐显现。具体而言，恶意设备可能伪造请求帧进行非法访问，或者从设备可能返回虚假的数据，对系统造成误导。为了应对这些安全挑战，可以采取访问控制、数据加密、完整性校验和身份认证等措施来保护通信的安全性和可靠性。

02、常见攻击方法

下图揭示了黑客视角下攻击阶段与数据维度的详细剖析。此图不仅揭示了黑客在攻击过程中所使用的策略与技巧，而且展示了如何透过数据的多维度来增强安全防护。

1. 扫描技术

1.1 使用nmap端口扫描

通过执行nmap扫描，可以识别出目标对象暴露的服务端口;通过分析结果，可以获取目标对象的系统版本、内核版本以及开放的工控协议Modbus/TCP默认端口等敏感信息。这些信息对于攻击者而言具有重要的价值，可以用于进一步的漏洞利用和攻击。

1.2 设备指纹获取

从上述信息中，可以确定厂商、产品和版本号，如下图所示：

从数据交互的角度来看，nmap客户端采取了以下三种行为：

1. 读取RTU地址为2的线圈地址失败。

2. 使用17功能码获取RTU地址。

3. 使用43功能码获取设备指纹ID。

一旦成功获取设备指纹ID，黑客便可以在官方网站上轻松查询到该设备的版本信息。掌握设备的版本详情后，黑客就能够迅速识别出该设备可能存在的已知漏洞;利用这些信息，黑客可以设计出针对性的攻击策略。

1.3 功能码扫描

通过解析功能码获取RTU地址，定位标识设备在网络中的位置，然后基于这些RTU地址，进行功能码扫描以确定设备所支持的各种功能属性。基于上述路径，黑客可以全面了解设备在网络中的工作和性能特性。

1.4 寄存器地址扫描

通过解析功能码成功获取到01功能码所对应的线圈寄存器地址，从而读取设备的状态信息。这种方法能够实现对设备信息的准确获取。

1.5 寄存器地址值尝试

根据不同功能码的属性，对寄存器地址进行大范围尝试。

2. 漏洞利用

使用searchsploit命令对exploitdb数据库的本地副本进行查询，可以精确定位到发布漏洞的具体位置。在本次示例中，searchsploit的返回结果如下图所示，展示了漏洞的具体细节和相关信息：

3. Modbus协议中间人攻击

由于Modbus协议采用明文方式传输，因此很容易受到中间人攻击(MiTM)。这类攻击包括记录和重放攻击。例如，攻击者可以记录Modbus协议的报文载荷，然后通过与scapy或者Modbus VCR和Ettercap等工具配合使用，将这些记录的报文进行重放。

03、产品检测与防护

工业安全流量审计与日志分析系统，是依托对工控网络安全的深刻理解而打造的一款态势感知产品，专为工业控制网络设计。该平台充分利用大数据收集能力，智能并实时整合来自各类设备的日志告警数据和网络流量数据，进而构建起一个强大的工控企业级安全大数据中心。通过深度挖掘安全大数据，并运用机器学习技术进行智能分析，该系统能够为用户呈现出一个全面而精准的工控网络态势环境，从而助力企业更好地掌握网络安全状况，确保工控系统的稳定运行。

针对Modbus协议的常见攻击手段，例如利用协议的漏洞进行非法访问和控制、篡改数据等，工业安全流量审计与日志分析系统通过流量分析，采取相应的响应措施，例如：

● 检测和识别异常的Modbus请求， 联动进行阻断和隔离，防止进一步的攻击和扩散;

● 对可疑的请求进行记录和审计，以便后续的调查和分析;

● 定期对网络流量进行监控和检测，及时发现和修复可能存在的安全漏洞;

● 对Modbus协议的正常行为进行建模和学习，以便更好地识别异常行为，提高安全性和可靠性。

通过这些措施，工业安全流量审计与日志分析系统能够有效地维护工业控制网络的安全和稳定，确保生产过程的正常进行，示例如下：

1. 工业控制协议还原

1.1 组态变更还原

根据上述告警信息，工业安全流量审计与日志分析系统成功地检测到了Modbus/Tcp衍生协议UMAS中上传PLC数据到上位机的风险行为。

1.2 指令变更还原

通过告警统计，可以清晰地了解各种告警类型以及当前正在发生的危险操作事件。这些数据提供了更详尽的支撑，有助于对事件进行溯源和分析。

2. 异常事件识别

2.1 白名单识别

工业安全流量审计与日志分析系统采用白名单机制，仅允许经过认证的程序执行，以适配工业应用特有的单一性操作模式。通过构建正常行为的“白名单”，该系统能够精准地检测和识别任何异常行为。这一机制的建立通常依赖于对大量正常行为数据的深入学习和分析，确保白名单的有效性。此外，该白名单机制还具备防范恶意代码执行的能力，从而显著增强系统的安全性和可靠性。

2.2 异常的控制指令、点位、值识别

工业安全流量审计与日志分析系统在异常控制指令、点位、值识别方面，主要聚焦于对控制指令以及输入/输出端口的状态和值进行深入分析。这一过程中，由于不同设备和系统可能采用不同的协议和数据格式，因此需要深入理解各类设备和协议的工作机制，以便精确解析和诠释相关数据。同时，处理庞大的网络流量或系统日志数据，也要求具备专业的知识和技能，确保能够准确识别出异常指令或状态，从而有效保障工业安全。

3. 私有协议识别

私有协议识别过程往往需要对特定设备或系统所使用的协议进行深入剖析，以精准地解析和诠释其数据。以UMAS协议为例，作为Modbus协议的一个采用90功能码的变体，需对Modbus协议有深厚的理解，以便能够准确解析和解读UMAS协议的数据内容。

而私有协议库作为一种高效且安全的审计方案，在完善工业安全流量审计与日志分析系统方面发挥着重要作用。它能够帮助系统对所有流经的网络流量进行全面、精确且实时的监控与记录。通过私有协议库能够显著提高系统的安全性和可靠性，确保所有网络流量都能得到有效的监测与管理，从而为工业安全提供坚实的保障。

结论

本文对Modbus协议及其私有协议UMAS进行了深入分析，探讨了其组成、格式、传输原理与方式、角色与操作以及安全问题与解决方案。Modbus协议作为一种经典的串行通信协议，在工业控制等领域有着广泛的应用。然而，正如世间万物皆需与时俱进，Modbus协议亦不例外。在科技飞速发展的今天，不仅要看到Modbus协议所展现出的强大生命力，更要正视其所面临的安全挑战。因此，我们不仅要致力于优化和完善Modbus协议本身，更要借助先进的技术手段和创新的解决方案，不断提升工控系统的安全性和可靠性。

原文来源：数世咨询