信息搜集

ICS · 知识域。工控环境侦察。标签:设备信息搜集、网络拓扑信息搜集、协议信息搜集、系统信息搜集。

触发特征

  • 给工控网段/流量/工程文件,要求绘制"生产网络地图"。

设备信息搜集

  • 设备指纹:nmap + modbus/s7/enip 探测脚本识别 PLC 型号(西门子 S7-1200/1500、施耐德 M340、AB CompactLogix、国产和利时/汇川)。
  • 组态软件痕迹:工程文件(.zap/.m14/S7DOS)、HMI 数据库;SCADA 服务器指纹(Wonderware/组态王/iFIX/WinCC)。
  • 设备 Web 管理面识别(PLC 内置 Web 服务:S7-1500 80/443)。

网络拓扑信息搜集

  • 分区模型:Purdue 模型分层(0-5 层)定位目标;IT/OT 边界(工业防火墙/单向网闸)探测。
  • 主动发现:端口扫描(502 Modbus/102 S7/200 Enip/44818 AB/47808 BACnet/2404 IEC104/4d54 TASE.2)。
  • 被动发现:镜像口抓流量按会话绘拓扑(主从关系、轮询周期);MAC OUI 厂商判别。

协议信息搜集

  • 协议识别与版本:Wireshark 解析;Modbus 功能码使用习惯(S7 通信对)、寄存器地址表还原。
  • 私有协议:样本积累 + 结构分析(帧头/长度/命令字)。
  • OPC UA/OPC DA 通信面(现代集成层);MQTT/工控云(新业态)。

系统信息搜集

  • 工程师站/操作员站:Windows 老系统(不确定补丁)漏洞面(→ 渗透测试);共享/组态工程文件枚举。
  • 历史库/实时数据库(PID 点表)泄露 → 工艺理解(篡改控制逻辑的前置)。

转向

评论