跳转至

ICS_CTF 发现

本栏目内容,ICS CTF竞赛内容来自于作者自身打比赛经验,如果不对之处,请各位老师批评指正

工控设备发现

工控设备发现是工控比赛的前提,目前针对工控设备扫描中,在Nmap、Metasploit、Censes集成了大量的工具,用于挖掘当前在线PLC、DCS等ICS设备。

工控扫描脚本

基于工控端口的信息扫描脚本

在大量IP中如何发现工控设备,除了工控特殊端口意外,大量端口都是正常服务,例如ftp、ssh、telnet、smtp、ntp等正常网络服务。下面列表列举了当前可以利用开源工控扫描脚本。

端口 协议/设备 来源
102(TCP) siemens s7 nmap --script s7-info.nse -p 102 [host]
nmap -sP --script s71200-enumerate-old.nse -p 102 [host]
502(TCP) modbus nmap --script modicon-info -p 502 [host]
2404(TCP) IEC 60870-5-104 nmap -Pn -n -d --script iec-identify.nse --script-args='iec-identify.timeout=500' -p 2404 [host]
20000(TCP) DNP3 nmap -sT --script dnp3-enumerate.nse -p 20000 [host]
nmap --script dnp3-info -p 20000 [host]
44818(TCP) Ethernet/IP nmap --script enip-enumerate -sU -p 44818 [host]
47808(UDP) BACnet nmap --script BACnet-discover-enumerate.nse -sU -p 47808 [host]
1911(TCP) Tridium Nixagara Fo nmap --script fox-info.nse -p 1911 [host]
789(TCP) Crimson V3 nmap --scripts cr3-fingerprint.nse -p 789 [host]
9600(TCP) OMRON FINS nmap --script ormontcp-info -p 9600 [host]
1962 (TCP) PCWorx nmap --script pcworx-info -p 1962 [host]
20547(TCP) ProConOs nmap --script proconos-info -p 20547 [host]
5007(TCP) Melsec-Q nmap -script melsecq-discover -sT -p 5007 [host]
5006 Melsec-Q nmap -script melsecq-discover-udp.nse -sU -p 5006 [host]
956(TCP) CSPV4 Unknown
4840(TCP) OPCUA Unknown
18245(TCP) GE SRTP Unknown
1200(TCP) Codesys nmap –script codesys-v2-discover.nse [host]
10001 atg nmap --script atg-info -p 10001 [host]
2222 cspv4 nmap --script cspv4-info -p 2222 [host]
1911 fox nmap --script fox-info.nse -p 1911 [host]
4800 moxa nmap -sU --script moxa-enum -p 4800 [host]
137 siemens wincc sudo nmap -sU --script Siemens-WINCC.nse -p137 [host]
445 stuxnet nmap --script stuxnet-detect -p 445 [host]

上述脚本并未完全整列了当前能够使用脚本信息,未完待续中......

基于工控组态软件的组件扫描方法

各工控厂商往往自带组态软件,组态软件时连接当前内网内设备时可自主发现目标PLC设备

端口 协议/设备 连接方法
102(TCP) siemens s7 西门子软件Step7 自带扫描当前网段PLC设备功能
502(TCP) modbus 施耐德SoMachine Basic 连接PLC设备自带扫描内网网段功能

工控扫描与发现引擎

Shodan 引擎

Shodan是一款网络空间搜索引擎,主要搜索的是存在于互联网中的设备,服务器、摄像头、工控设备、智能家居等,并且可以识别出其版本,位置,端口,服务等信息。Shodan于2013年增加了针对工控协议的探测,用户可以直接使用工控协议的端口直接检索该协议的所有数据,用户也可以使用特征Dork直接搜索对应设备数据。

Zoomeye 引擎

ZoomEye是知道创宇打造的面向网络空间的搜索引擎,ZoomEye于2015年3月上线了工控专题(ics.zoomeye.org),ZoomEye支持12种工控协议的数据检索,使用者也可以使用工控协议的端口和特征Dork关键字发现暴露在互联网的工控软硬件,对于工控协议类型的数据,ZoomEye启用了保护策略,一般用户无法直接查看。

FOFA 引擎

FOFA是白帽汇推出的一款网络空间资产搜索引擎。它能够帮助用户迅速进行网络资产匹配、加快后续工作进程。例如进行漏洞影响范围分析、应用分布统计、应用流行度排名统计等

Diting 全网引擎

谛听(ditecting)网络空间工控设备搜索引擎,取谛听辨识万物之意,意在搜寻暴露在互联网上的工业控制系统联网设备, 帮助安全厂家维护工控系统安全、循迹恶意企图人士。

Censys 全网引擎

Censys是一款搜索引擎,它允许计算机科学家了解组成互联网的设备和网络。Censys由因特网范围扫描驱动,它使得研究人员能够找到特定的主机,并能够针将设备、网站和证书的配置和部署信息创建到一个总体报告中。

各类漏洞引擎内容不同,采取配置、部署节点等存在较大的差异,目前针对工控这块的搜索引擎以shodan和ditecting更为专业,但是从针对端口来看,各个引擎宣称的公布检索方式不尽相同。

各搜索引擎对比

未完待续.....