[公开漏洞]对电厂生产控制网络的一次漫游（针对工控网络的小型APT攻击）

来源：WooYun　浏览：873次　时间：2014-06-12

对电厂生产控制网络的一次漫游（针对工控网络的小型APT攻击）相关厂商：某电厂漏洞作者：Z-0ne 提交时间：2014-04-27 19:57 公开时间：2014-06-11 19:57 漏洞类型：系统/服务运维配置不当危害等级：高自评Rank：20 漏洞状态：已交由第三方厂商(cncert国家互联网应急中心)处理漏洞来源：http://www.wooyun.org Tags标签：安全意识不足工业控制系统监控系统安全意识不足工控安全边界防护 SCADA Modbus 漏洞详情披露状态：

2014-04-27：细节已通知厂商并且等待厂商处理中
2014-04-30：厂商已经确认，细节仅向厂商公开
2014-05-10：细节向核心白帽子及相关领域专家公开
2014-05-20：细节向普通白帽子公开
2014-05-30：细节向实习白帽子公开
2014-06-11：细节向公众公开

简要描述：

发散一下思路，攻击入口多多，又一次的从外网到内网的实例，其中又见南京科远的应用，最后达到的效果是可以直接操作多个Modbus TCP Slave子站，当然改数据什么的都是小事情，后面的你懂的，个人认为针对工控系统的攻击一般都是对来源的实时数据做溯源挖掘，因为数据是直接来自于设备的，随着现在信息化的建设，常规下我们在WEB界面看到的实时数据其实一般经过了多次转发，环顾时下工控安全环境，还是太浮于表面，工控安全厂商层面现在的氛围还是很好的，但是针对实际的用户还是不以为然，现在软，硬，实例一起搞还不给个闪电？

详细说明：

根据对内网摸查，排除了未知的网络部分，这里简单绘制已经完全了解的如下图的拓扑：

.jpg

其实该拓扑也是早期网络中最常见的形式，如果现在看图说话，那按照位置的话在mis和sis中间的实时数据库就相当于以前堡垒机了.

有了拓扑都不想打太多字了，下面简单说一下每一步的操作步骤和往下撸的思路供大家参考

1、当时的入口选择的还是企业的公司官网，拿下了网站的shell，至于怎么找这种企业，个人感觉可以找网上的应用、成功案例、案例展示等熟悉企业应用，当然这么说是准备着长期APT了，其实讲个笑话很多集成商企业在发布成功案例时就有可能手滑了没打码，好吧如果存活的话，这就是一个入口了，在我之前的案例中基本都是这样确定了目标，而且还是屡见不鲜。

2、以这个案例来说，危险的是他的服务是直接在内网做的WEB发布，而没有租用虚拟主机，我相信这种企业其实不在少数。

3、如何撸WEB这块就直接省略了，现在都忘了是怎么拿下的shell，因为shell趟了太常时间，web服务器这块因为是IIS支持asp和asp.net，当时环境下可以运行程序，提权的话用的方式是可以getpass直接读内存中的登录密码或者直接用程序提权加用户，个人做法是直接读登录密码，一般拿到的密码其实能通关很多服务器，其实这步最关键。

0.1.jpg