湖南西控自动化设备有限公司
主营产品: 工程型传动 通用变频器与通用伺服 数控系统 伺服电机 FA工厂自动化 PA过程自动化 Simoreg DC Master、Sinamics DC Master、Sinamics G130/G150、S120 装机装柜型/柜机、S150柜机等系列产品 保外的现场服务和室内维修,不包含水冷装置 Sinamics V20、部分G120C 和G120、G120X、G120XA,V90和配套的1FL6电机等系列产品保内及保外的 室内维修、现场服务,以及保内更换服务。保内标准服务类型由翩唉啊搏碍臂哎阿哎唉熬癌 唉啊哀挨安挨艾挨包爸焙 蚌安岔挨哀靶柏材挨宾哀挨捌安熬袄唉 伴义 828D数控系统保内和保外的现场服务 进口1FK2、1FK7、1FT2、1FT7、1PH81、1PH82等系列产品的保内及保外的室内维修、现场服务,以及保内更换服务 西门子 PLC 、HMI、SCADA 、 IPC、SIMOTION 等产品及网络相关产品的保外现场服务(具体服务产品、类型,以西门子派遣为准)。PLC : S7-200、S7-200 Smart、S7-300、S7-400、S7-1200和S7-1500等系列HMI : TP系列、OP系列、MP系列,精简面板、精智面板和移动面板;SCADA : SIMATIC WinCC及其选件,Portal WinCC Advanced / Professional及其选件;IPC: SIMATIC Flat Panel 系列、SIMATIC Panel PC 系列、SIMATIC BOX PC系列利I SIMATIC Rack PC 系列;SIMOTION: SIMOTION 系列相关产品 西门子过程自动化产品的保外现场服务具体服务产品、类型,以西门子派遣为准)。包括: S7-400,S7-400H,S7-410,故障安全型产品,ET200PA,ET 200SP,ET200ISP,SITOP电源产品,Scalance交换机,PCS 7软件
SIEMENS云南省昆明市西门子(授权)中国总代理-西门子西南地区一级总代理商

虽然主机TIA与PLC之间的认证引入了非对称加密算法,但是PLC与主机之间并没有进行绑定,因此仍然存在安全问题,攻击者可以伪造成一个恶意的主机/工作站,利用已知的公钥及加密算法,对PLC进行非法控制或者中间人攻击。


下面介绍密钥生成算法流程:

图片

图6 密钥生成算法


主机(TIA)随机生成20字节的PreKey,使用类椭圆曲线加密算法和公钥加密PreKey,作为Keying materaial1(对应图7中M3数据包的EG1、EG2)。

主机(TIA)根据PreKey计算KDF,并由此生成CEK(Checksum Encryption Key),CS(ChecksumSeed),KEK(Key Encryption Key)。

主机(TIA)将Challenge和KDK相结合,使用AES-CTR加密算法和KEK进行加密,其结果作为Keying material3(对应M3数据包中的EncryptedChallenge和EncryptedKDK)。

主机(TIA)用CS和Keying material 3进行哈希运算(TabulationHash),得到结果TB-HASH。

主机(TIA)使用AES-ECB算法和CEK来加密TB-HASH并得到结果Keying material2(对应M3数据包中的EncryptedChecksum)。


图片

图7 M3数据包结构


图片4.漏洞复现

我们对OMSp_core_managed.dll进行逆向分析,通过调用关键接口函数,构造四次握手加密认证数据包。攻击端首先发送认证数据包,密钥认证完成后发送stop功能码,成功使得西门子PLCS7-1500停止运行。


正常运行时,PLC S7-1500运行指示灯为绿色。运行状态如图8所示。

图片

图8 攻击前PLC正常运行


发送攻击脚本后,PLC S7-1500运行指示灯变为黄色,PLC停止运行,PLC状态如图9所示。

图片

图9 攻击后PLC停止运行


展开全文
相关产品
拨打电话 微信咨询 发送询价