1、（照片部分由主办方添加）浅析工业控制系统攻击 中国网安中国网安 三零卫士三零卫士 工控安全实验室工控安全实验室 周坤 工控安全实验室负责人 关于我 姓名：周坤 ID：曲终人散 职位：工控安全实验室负责人 公司：中国网安 三零卫士 研究方向：工控发电站漏洞挖掘、智能设备漏洞挖掘 团队：IRT工控安全团队联合队创始人 团队：破晓团队核心成员 介绍：2017-2018年度CNVD国家信息安全漏洞平台白帽排名第一 2019年度荣获国家信息安全漏洞共享平台“漏洞技术研究先进个人”2020年度CNVD国家信息安全漏洞白帽排名第五 CNVD国家信息安全漏洞平台（原创通用型）漏洞证书270个 目录 目 录 C

2、ONTENTS 工业控制系统基础 1 1 工业控制系统结构 2 2 工业控制系统攻击 3 3 目录 工业控制系统基础 1 1 工业控制系统基础 70年代生产线 现代汽车生产线 工业控制系统基础 工业控制系统基础 工业控制系统基础 1.电源 2.中央处理单元(CPU)3.存储器 4.输入输出接口电路 5.功能模块 6.通信模块 PLCPLC主要组成部分：主要组成部分：工业控制系统基础 输出刷新阶段 输入采样阶段 用户程序执行阶段 工业控制系统基础 目录 工业控制系统结构 2 2 工业控制系统结构 工业控制系统结构 控制器系统的大脑 自动控制系统中控制器在整个系统中起着重要的作用，扮演着系统管理和

3、组织核心的角色。工业控制系统结构 执行器系统的手脚 执行器在自动控制系统中的作用就是相当于人的四肢，它接受调节器的控制信号，改变操纵变量，使生产过程按预定要求正常运行。在生产现场，执行器直接控制工艺介质，若使用操作不当，往往会给生产过程的自动控制带来预想不到的后果。工业控制系统存储结构 数据结构存储区数据结构存储区 实际输入实际输入/输出相关存储输出相关存储区区 内部数据存储区内部数据存储区 I I Q Q AIAI AQAQ 工业控制系统工作方式 RUNRUN 读取输入读取输入 执行用户程序执行用户程序 处理通信请求处理通信请求 自诊断检查自诊断检查 改写输出改写输出 STOPSTOP 读取

4、输入读取输入 执行用户程序执行用户程序 处理通信请求处理通信请求 自诊断检查自诊断检查 改写输出改写输出 工业控制系统PLC+HMI程序 工业控制系统工业控制系统PLC+HMIPLC+HMI程序程序 工业控制系统DCS程序 工业控制系统工业控制系统DCSDCS专用程序专用程序 工业控制系统PLC工作过程 目录 工业控制系统攻击 3 3 工业控制系统漏洞类型 工业控制系统攻击点 工业控制系统攻击目标意图 PLCPLC运行时系统运行时系统 读工程文件 运行/终止梯形逻辑 上传梯形逻辑 下载梯形逻辑 查看梯形逻辑源码 改变梯形逻辑代码 读写总线 读写进程值 执行梯形逻辑 文件系统文件系统 读写文件

5、读写PLC配置文件 读写PLC运行时系统文件 删除文件 格式化文件系统 改变文件权限 工业控制系统入侵方式 企业办公网企业办公网 远程维护通道远程维护通道 手机等智能终端手机等智能终端 USBUSB移动存储介质移动存储介质 WLANWLAN无线连接无线连接 心怀不满或恶意员工心怀不满或恶意员工 工业控制系统攻击工厂环境 工业控制系统攻击流程 工业控制系统攻击案例一 HavexHavex木马传播途径木马传播途径 钓鱼邮件、垃圾邮件、摆渡钓鱼邮件、垃圾邮件、摆渡 漏洞利用工具漏洞利用工具 在被入侵的厂商主站为用户提供的软件安装包在被入侵的厂商主站为用户提供的软件安装包中包含该木马中包含该木马 工业

6、控制系统攻击案例二 交换设备 OPC服务器 外部攻击设备 互联网 工厂内网 工程师/操作员站 DCS控制器 1、通过信息收集与网络扫描，发现OPC服务器相关信息及可利用的漏洞 2、通过漏洞分析，编写漏洞利用程序入侵OPC服务器，植入后门、提权获得管理员权限并获取SHELL 3、通过OPC服务器作为跳板，进一步探测内部网络，寻找攻击目标，并收集攻击目标信息 4、通过后门上传攻击程序，由外部攻击设备控制OPC服务器实施攻击，DCS控制被非法控制，导致严重后果 5、攻击完成，清理攻击痕迹，断开连接 火电厂生产工艺火电厂生产工艺 工业控制系统攻击案例三 1 1、StuxnetStuxnet散布到互联网

7、，感染计散布到互联网，感染计算机和算机和U U盘盘 2 2、带有、带有StuxnetStuxnet的的U U盘，插入盘，插入ICSICS计计算机，传染给控制系统网络算机，传染给控制系统网络 3 3、找到西门子控制系统软件、找到西门子控制系统软件“WinCCWinCC”后，利用其漏洞，替换”后，利用其漏洞，替换原有的原有的S7otbxdx.dllS7otbxdx.dll文件文件 4 4、借助、借助WinCCWinCC软件，向西门子控制软件，向西门子控制器器PLCPLC注入恶意控制程序注入恶意控制程序DB890DB890 PLCPLC向离心机发送恶意控制指令，向离心机发送恶意控制指令，使其超速，向控制室发送欺骗性的使其超速，向控制室发送欺骗性的“正常数据”“正常数据”工业控制系统协议列表 工业通讯控制协议列表工业通讯控制协议列表 工业控制系统协议端口 工业通讯控制协议端口工业通讯控制协议端口 工业控制系统协议攻击案例 国外某厂商设备协议认证分析 总结：工业控制系统安全