标签：电子   数据分析   检测   服务   sky   一起   man   dap   传统   

1、     EtherNet/IP :

    设备可以用户数据报协议（UDP）的隐式报文传送基于IO的资料 ，用户传输控制协议（TCP）显示报文上传和下参数，设定值，程式 ，用户主站的轮询 从站周期性的更新或是改变状态COS，方便主站监控从站的状态，讯息会使用UDP的报文发送出去

    特性：  EnterNet/IP 工业以太网组成的系统具有兼容性和互操作性，资源共享能力强和传输距离远，传输速率高优势

    EtherNetIP在物理层和数据链路层采用以太网，可以与标准的以太网设备透明衔接，并保证随着以太网的发展，EtherNetIP也可以进一步扩展。EtherNetIP的网络层和传输层采用UDP协议传送实时性要求高的隐式报文，如面向控制的实时I/O数据，优先级较高；用TCP协议的流量控制和点对点特性通过TCP通道传输非实时性的显示报文，优先级较低

    工作模式：

EtherNet/IP采用生产/消费模式，它允许网络上的节点同时存取同一个源的数据。在生产/消费模式中，数据被分配一个唯一的标识，每一个数据源一次性的将数据发送到网络上，其他节点选择性的读取这些数据，从而提高了系统的通信效率

   EnterNet/IP存在的漏洞

  2012年2月14日，Basecamp计划的安全研究者提出了一个针对洛克威尔的ControlLogixPLC，EtherNet/IP通讯缺陷的Metasploit攻击。此安全性漏洞若没处理，可以允许远端攻击者破坏设备或使设备在未预期的情形下重新开机，而这些设备往往也是工业系统上的关键设备或元件

    EthernetIP是实时以太网协议，容易受到以太网漏洞的影响，由于UDP之上的EthernetIP是无法连接的，因此没有内在网络层机制来保证可靠性、顺序性或进行数据完整性检查。CIP协议是一个端到端的面向对象并提供了工业设备和高级设备之间连接的一种协议，EtherNetIP协

     CIP协议是一个端到端的面向对象并提供了工业设备和高级设备之间连接的一种协议，EtherNetIP协议在基于传统TCP/IP协议的基础上嵌入了CIP协议，CIP协议的对象模型也存在如下的安全问题：

  CIP未定义任何显式或隐式的安全机制；使用通用工业协议必须对对象进行设备标识，为攻击者进行设备识别与枚举创造条件；使用通用应用对象进行设备信息交换与控制，可能扩大遭受工业攻击的范围，令攻击者可以操纵更多的工业设备；EthernetIP使用UDP与广播数据进行实时传输，两者都缺少传输控制，攻击者易于注入伪造数据或使用注入IGMP控制报文操纵传输途径

    EnterNet/IP上使用TCP/IP 和UDP /IP lai 封装数据包。包括显示连接隐式连接（注   ====摘自  工业以太网协议Ethernet/IP  吴爱国 李长滨）

      如下的显示请求很隐式请求摘自  EtherNet/IP：industrial protocol paper

        显示报文： 显示报文适用于两个设备多用途的点对点报文传递，是典型的请求-响应网络通信方式。常用于节点配置 问题诊断 等，显示报文通常使用优先级较低的连接ID，并且该报文的相关报文包含在显示报文数据帧的数据区中。包括要执行的对象属性移机地址，

       隐式报文：  隐式报文适用于对实时性要求较高和面向控制的数据I/O数据等，IO报文使用优先级较高的连接ID 。在IO报文利用ID发送报文之前，报文的发送和设备必须先进行配置，配置的内容包括原地址，目的的对象说属性。以及数据生产者和消费者的地址。

EnterNet/IP 实现了通过以太网提供控制，配置和数据的采集服务。

     优势：  大多数用户可以利用现用的 以太网技术知识和网络设施，发挥最大的作用。EtherEnt/IP和现在的TCP/IP协议能够共存。

 博客摘要：每个CIP节点被模拟炒年糕一组对象的集合，CIP对象由class   实例 instance   属性 attribute  服务service 和行为 behavior 构成。

 EtherNet/IP和ControlNet和DeviceNet 都是用相同的应用层协议，所以之间能够共享对象和设备描述信息，这些数据和描述信息可以让不同的厂家的复杂的设备 实现即插即用和互操作。在同一网络中可以完成实时I/O信息。配置信息以及诊断信息的传递，无需编辑特制的软件，便可以将这种复杂的设备，变频器机器人控制器，条形码，称重器导尿管设备连接在一起，这样一来不仅能够快速的搭建一个控制系统，还能方便对设备的控制和维护。

    EtherNet/ip对用户提供显示和隐式的信息报文传输服务，这样EtherNet/IP 网络能够实现利用轮询，周期循环 状态改变等触发机制，进行点对点的数据传输，从而满足控制，设备网络的各种需要。

目前国际上流行的工业以太网  Modbus/TCP   EtherNet/IP Profinet  HSE等。

引用：

工业以太网协议Ethernet/IP  吴爱国 李长滨

 安全实验室资料整理  http://plcscan.org   

     关于工控设备的蜜罐日志（about ICS/SCADA Honeypot log）设备协议仿真部署在网上抓取的日志记录详见wooyun社区的讨论

     数据分析一栏中统计了按照协议分类使用的工控设备的暴露数据的统计表   统计数据来源于 shodan

OPC（OLength forProcess Control 用于过程控制的OLE）协议概念介绍：

   是一个标准的工业标准，管理这个保准的国际组织是OPC基金会，OPC包括一整套接口，属性和方法标准集，用于过程控制和制造自动化系统

DNP3（Distributed Network Protocol分布式网络规约）是一种应用于自动化组件之间的通讯协议，SCADA可以使用DNP协议与主站 RTU 以及IED进行通讯。该协议有IEEE提出，参考而来IEC850-5以及其他一些IEC协议，为了解决SCADA行业中协议的混杂，没有够个人的标准的问题。

      DNP协议有一定的可靠性，这种可靠性可以用来对抗恶劣环境中的电磁干扰，元件老化，行行好失真，但是不保证在黑客的攻击下，或者恶意破坏者控制系统的清空下的可靠性。

 EtherNet/IPd的特点之一是在TCP/IP/UDP的基础上附加了CIP，正是这个公共应用层的存在使得EtherNet/IP获得了广泛的支持，

博客摘要： 工控安全之门  https://www.cnblogs.com/blacksunny/p/7202815.html

EtherNetIP是为了在以太网中使用CIP协议进行的封装，EtherNet/IP 的CIP帧分装了命令，数据点和消息，CIP帧包括CIP设备配置文件，应用层，表示层，会话层，数据的其余部分书EtherNet/IP帧，

   CIP协议字段的含义： command 两个字节的整数，对应一个CIP命令，设备必须能过接收无法是被的命令字段，处理这些异常。

           length:  l两个字节的整数，代表数据包中的数据部分 的长度，对没有数据部分的请求报文，该字段是0、

           Session handle 会话句柄（session handle）由目标设备生成，并返回给会话的发起者。该句柄将用于后续与目标设备的通信。

• Status

  Status字段存储了目标设备执行命令返回的状态码。状态码“0”代表命令执行成功。所有的请求报文中，状态码被置为“0”。其它的状态码还包括：

- 0x0001无效或不受支持的命令

- 0x0002目标设备资源不足，无法处理命令

- 0x0003数据格式不正确或数据不正确

- 0x0065接收到无效的数据长度

Sender Context

命令的发送者生成这六字节值，接收方将原封不动的返回该值。

Options

该值必须始终为0，如果不为零，数据包将被丢弃。

 Session Handle即可轻松攻击Ethernet/IP

工业协议安全书籍

Books

工业以太网协议安全分析整理

标签：电子   数据分析   检测   服务   sky   一起   man   dap   传统   

原文地址：https://www.cnblogs.com/xinxianquan/p/9881098.html