2019 工业信息安全技能大赛-哈尔滨站 WriteUp

📝 赛事概况

  • 参赛规模：比赛共吸引了来自全国的 24 支队伍参加

  • 比赛项目：大赛设有 PLC 漏洞挖掘和 SCADA 漏洞挖掘两个比赛项目

🏛️ 组织架构

  • 指导单位：国家工业信息安全发展研究中心、黑龙江省工业和信息化厅

  • 主办单位：黑龙江省电子技术研究所、哈尔滨工程大学

🏆 比赛结果

  • 第一名：冀信安队

Misc

异常的 S7 数据（S7comm 协议）

大概看了一下，全是 0x05 功能码

绝大多数写入数据都以 ffff 开头

右键作为过滤器应用

WireShark 生成的语法是 s7comm.resp.data == ff:ff:96:e7:8f:51:c4:d0:3a:2b

我们更改为 s7comm.resp.data[0:2] != ff:ff，筛选出数据包

所以 flag 是 flag{FFAD28A0CE69DB34751F}

神奇的数据（S7 符号访问服务）

查看文本文件是一大堆 ASCII 码（十进制），用 | 间隔

搜索 flag 66|6c|61|67|，有两段结果

分析第一段是请求包

以太网帧

字段 值
目标 MAC 08:ac:7d:01:e1:83
源 MAC 00:05:b7:da:72:57
EtherType 0x0800 (IPv4)

IPv4 首部

字段 值
版本 / IHL 4 / 5 (20 字节)
DSCP / ECN 0x00
总长度 91 (0x005b)
标识 0x987e
标志 / 片偏移 DF (不分片), 0
TTL 64
协议 6 (TCP)
校验和 0x10a1
源 IP 100.100.100.21
目的 IP 100.100.100.160

TCP 首部

字段 值
源端口 57632 (0xe120)
目的端口 102 (ISO-TSAP)
序列号 0xbdcc6ad5
确认号 0x86f7846e
数据偏移 32 字节 (8)
标志 ACK + PSH (0x18)
窗口 501 (0x01f5)
校验和 0x5744
紧急指针 0
选项 NOP, NOP, Timestamp (TSval=0x7d8a8100, TSecr=0x09ad3958)
负载长度 39 字节

TPKT (RFC1006)

字段 值
版本 3
保留 0
长度 39 (0x0027)

COTP (ISO 8073)

字段 值
头长度 2 字节
PDU 类型 DT (0x0f)
EOT / TPDU-NR 0x80 (EOT, NR=0)

S7 符号访问服务（请求）

字段 值
固定头 01 00 01 00
应用构造标签 0x61 (Application 1)
长度 26 (0x1a)
SEQUENCE 长度 24 (0x18)
协议版本 (INTEGER) 3
Context[0] 长度 19 (0x13)
Context[0] 内容长度 17 (0x11)
符号 ID (INTEGER) 0x666c6167 (“flag”)
Context[1] 长度 9
↳ Context[0] (参数1) 80 01 09 (原始, 值 0x09)
↳ Context[1] (参数2) 80 00 (原始, 空)

很明显，目的端口 102 → 典型的西门子 PLC ISO-TSAP 端口

接下来再来看响应包

以太网帧 (802.1Q)

字段 值
目标 MAC 00:05:b7:da:72:57
源 MAC 08:ac:7d:01:e1:83
802.1Q TPID 0x8100
优先级 / CFI / VLAN ID 0 / 0 / 1
EtherType 0x0800 (IPv4)

IPv4 首部

字段 值
版本 / IHL 4 / 5
总长度 145 (0x0091)
标识 0x15f4
标志 / 片偏移 DF, 0
TTL 64
协议 6 (TCP)
校验和 0x92f5
源 IP 100.100.100.160
目的 IP 100.100.100.21

TCP 首部

字段 值
源端口 102
目的端口 57632
序列号 0x86f7846e
确认号 0xbdcc6afc (确认增加 39)
数据偏移 32 字节
标志 ACK + PSH (0x18)
窗口 15000 (0x3a98)
校验和 0x56e2
紧急指针 0
选项 NOP, NOP, Timestamp (TSval=0x09ad3958, TSecr=0x7d8a8100)
负载长度 93 字节

TPKT (RFC1006)

字段 值
版本 3
保留 0
长度 93 (0x005d)

COTP (ISO 8073)

字段 值
头长度 2 字节
PDU 类型 DT
EOT / TPDU-NR 0x80

S7 符号访问服务（响应）

字段 值
固定头 01 00 01 00
应用构造标签 0x61
长度 80 (0x50)
SEQUENCE 长度 78 (0x4e)
协议版本 3
Context[0] 长度 73 (0x49)
Context[1] 长度 71 (0x47)
Invoke ID (符号 ID) 0x666c6167 (“flag”)
变量列表容器 Context[1] (长度 63)
返回状态 0x00 (成功)

变量列表（VisibleString）

序号 变量符号名
1 PL1012{ROT
2 PL1012CTRL
3 PL1012LD0
4 PL1012MEAS
5 PL1012RC

看上面的变量列表结构，删除掉 PL1012，flag 就出来了

1
flag{ROTCTRLLD0MEASRC}

智能变电站设备异常诊断（SCD 文件）

010 打开发现文件头被颠倒了

改回来后打开就是一个 dcs.dcs 文件

初步查看文件类型

1
2
file dcs.dcs
strings -a dcs.dcs | head

可以看到文件不是普通 XML

1
dcs.dcs: data

但文件头附近有明显标识

1
$KEMOV-SCD-FILE$

继续查看十六进制

1
2
3
od -Ax -tx1z -N 128 dcs.dcs

ff ff 24 4b 45 4d 4f 56 2d 53 43 44 2d 46 49 4c 45 24

对应了 $KEMOV-SCD-FILE$

同时后面出现了类似

1
20 31 20 31 20 30 20 6b 20 76 20 2e 20 73 20 63 20 64

这种结构解出来是

1
110kv.scd

说明这个文件本质上保存的是一个变电站 SCD 配置信息，只是被厂商工具二进制化了

观察文件里的 ASCII 字符串会发现它不是正常连续保存的

1
20 49 20 4c 20 31 20 31 20 30 20 31

这不是普通 ASCII，而是类似

1
0x20 + ASCII 字符

所以

1
2
3
4
5
6
20 49 -> I
20 4c -> L
20 31 -> 1
20 31 -> 1
20 30 -> 0
20 31 -> 1

解出来是

1
IL1101

中文部分则基本可以按 UTF-16BE 理解

也就是说，文件里的大量字段是 1 字节长度 + 2 字节字符序列

编写脚本来恢复

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
from pathlib import Path
import re
from collections import Counter

b = Path("dcs.dcs").read_bytes()

print("[+] header:", b[2:18].decode())

def dec(pos):
    if pos >= len(b):
        return None

    L = b[pos]

    # 字符串长度一般为偶数，每个字符 2 字节
    if L < 2 or L > 200 or L % 2:
        return None

    data = b[pos + 1:pos + 1 + L]
    if len(data) != L:
        return None

    out = []

    for hi, lo in zip(data[0::2], data[1::2]):
        # ASCII 字符：20 xx
        if hi == 0x20 and 0x20 <= lo <= 0x7e:
            out.append(chr(lo))
        else:
            try:
                ch = bytes([hi, lo]).decode("utf-16be")
            except Exception:
                return None

            # 本题需要的非 ASCII 基本都是中文，严格过滤误判
            if not (0x4e00 <= ord(ch) <= 0x9fff):
                return None

            out.append(ch)

    s = "".join(out)

    if not re.search(r"[A-Za-z0-9\u4e00-\u9fff]", s):
        return None

    return s, pos + 1 + L


def strs(start=0, end=None):
    p = start
    end = len(b) if end is None else min(end, len(b))
    out = []

    while p < end:
        r = dec(p)
        if r:
            s, p2 = r
            out.append((p, s))
            p = p2
        else:
            p += 1

    return out


allstr = strs()

print("[+] decoded strings:", len(allstr))
print("[+] first strings:")
for off, s in allstr[:8]:
    print(hex(off), repr(s))


print("\n[+] 110kV line intelligent terminals:")
for idx, (off, s) in enumerate(allstr):
    if "110kV" in s and "线路智能终端" in s:
        print("---")
        for o, t in allstr[max(0, idx - 3):idx + 2]:
            print(hex(o), t)


print("\n[+] duplicated IED_GOCB:")

records = []

for m in re.finditer(b"IED_GOCB", b):
    vals = [s for _, s in strs(m.end(), m.end() + 700)]

    gocb = next((x for x in vals if re.fullmatch(r"gocb\d+", x)), None)
    ref = next((x for x in vals if "/LLN0" in x), "")

    mi = re.search(r"0?([A-Z]{1,4}\d{3,4})(?=[A-Z]+/LLN0)", ref)

    if gocb and mi:
        ied = mi.group(1)
        records.append((m.start(), ied, gocb, vals[:6]))

cnt = Counter((ied, gocb) for _, ied, gocb, _ in records)

for (ied, gocb), c in sorted(cnt.items()):
    if c > 1:
        print(ied, gocb, "count =", c)

        for off, ied2, gocb2, vals in records:
            if (ied2, gocb2) == (ied, gocb):
                print("   ", hex(off), vals[:5])

脚本首先能恢复出原始 SCD 文件名

1
2
3
4
5
6
7
8
[+] header: $KEMOV-SCD-FILE$
[+] decoded strings: 8174
[+] first strings:
0x21 '九曲110kv.scd'
0x3b 'version'
0x4d 'reversion'
0x63 'template'
0x77 'toolID'

接着筛选 110kV 线路智能终端，可以看到

1
2
3
4
5
6
7
[+] 110kV line intelligent terminals:
---
0x2525d IL1101
0x2526d 110kV1#线路智能终端
---
0x30a87 IL1102
0x30a97 110kV2#线路智能终端

题目说问题可能来源于线路智能终端，所以重点检查

1
2
IL1101
IL1102

然后分析 IED_GOCB 记录，即 GOOSE Control Block 配置，异常输出为

1
2
3
4
5
6
[+] duplicated IED_GOCB:
IL1101 gocb5 count = 10
    0x28756 ['gocb5', '0IL1101RPIT/LLN0', 'GOOSE采样', '0IL1101RPIT/LLN0', 'GO$gocb5 0IL1101RP']
    0x2953e ['gocb5', '0IL1101RPIT/LLN0', 'GOOSE采样', '0IL1101RPIT/LLN0', 'GO$gocb5 0IL1101RP']
    0x2a24e ['gocb5', '0IL1101RPIT/LLN0', 'GOOSE采样', '0IL1101RPIT/LLN0', 'GO$gocb5 0IL1101RP']
    ...

这里的异常点非常明确：

1
IL1101 / RPIT / LLN0 / gocb5

被重复配置了 10 次

在 IEC 61850/SCD 配置里，同一个 IED、同一个逻辑节点下的 GOOSE 控制块名称应该唯一。重复的 gocb5 会导致控制块引用冲突、GOOSE 配置异常，从而引发运行异常

题目问的是 “分析存在问题根源”

真正的问题是 “变电站基础配置文件 SCD 存在错误”

所以 flag 是 flag{scdisbad}

黑客的大意（信息收集）

识别出是 PNG 图片，修改后缀再打开

GitHub 上搜索到源码，里面就有邮箱

窃取数据的黑客（MMS 协议）

查看会话可以看到一直在跟 192.168.51.34:102 通信

所以 192.168.51.34 就是服务器

按照长度排列，第 3096 包没有 info 信息有点可疑（3022、3059 也一样）

展开后可以看到 flag.7z 以及 flag.txt

按照最先发包顺序，从 3022 之后看攻击者 IP 192.168.51.33 请求操作

在 3066 包中可以看到访问了 flag.7z

编写脚本去响应中找到这个压缩文件

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
import struct

pcap = "tmflag(1).pcapng"               # 要解析的 pcapng 文件
data = open(pcap, "rb").read()           # 一次性读取全部二进制内容

endian = "<"                             # 默认小端字节序，后续可根据块类型修正
pos = 0                                  # 当前解析位置（字节偏移）
packets = []                             # 存储提取的原始数据包内容

# 逐块解析 pcapng 文件
while pos + 12 <= len(data):            # 至少需要类型(4) + 块长(4) + 尾部块长(4)
    block_type, block_len = struct.unpack(endian + "II", data[pos:pos+8])
    if block_len < 12 or pos + block_len > len(data):  # 非法块长度则停止解析
        break

    body = data[pos+8:pos+block_len-4]  # 块体，去掉头和尾的块长度字段

    if block_type == 0x0A0D0D0A:        # Section Header Block：决定字节序
        bom = struct.unpack("<I", body[:4])[0]  # 读取字节序标记
        endian = "<" if bom == 0x1A2B3C4D else ">"  # 根据标记设置端序
    elif block_type == 6:               # Enhanced Packet Block
        if len(body) >= 20:
            # 接口ID、时间戳高/低、捕获长度、原始长度（只关注 caplen）
            _, _, _, caplen, _ = struct.unpack(endian + "IIIII", body[:20])
            packets.append(body[20:20+caplen])  # 保存捕获到的数据包

    pos += block_len                     # 移动到下一个块

# 分析提取的以太网数据包
for idx, pkt in enumerate(packets, 1):
    if len(pkt) < 14:
        continue                         # 不够以太网帧头长度，跳过

    eth_type = struct.unpack("!H", pkt[12:14])[0]  # 以太网类型字段
    if eth_type != 0x0800:
        continue                         # 非 IPv4 包则跳过

    ip = pkt[14:]                        # IP 头部起始
    ihl = (ip[0] & 0x0f) * 4            # IP 头长度（字节）
    proto = ip[9]                        # 传输层协议号
    if proto != 6:
        continue                         # 非 TCP 则跳过

    total_len = struct.unpack("!H", ip[2:4])[0]  # IP 总长度
    tcp = ip[ihl:total_len]              # TCP 段（头部+数据）
    sport, dport = struct.unpack("!HH", tcp[:4])  # 源端口、目的端口
    tcp_hlen = (tcp[12] >> 4) * 4        # TCP 头长度（字节）
    payload = tcp[tcp_hlen:]             # TCP 有效载荷（应用层数据）

    # 7z 文件魔数签名
    sig = b"7z\xbc\xaf\x27\x1c"
    off = payload.find(sig)              # 在载荷中查找该签名

    if off != -1:                        # 找到 7z 文件头
        # 提取从签名开始的一段数据（长度 0x8f 字节）
        filedata = payload[off:off + 0x8f]
        open("flag.7z", "wb").write(filedata)  # 写出文件
        print(f"[+] frame {idx}: extracted flag.7z, size={len(filedata)} bytes")

解压后拿到 flag 值

flag 在哪（文件附件隐写 + 像素隐写）

使用 foremost 分离出一个 PNG 图片和压缩包

图片发现存在残缺的条形码图文

使用 PS 工具将其修复完整，发现熊猫的颜色颠倒过来，因此对图片进行反相处理

扫描可得到字符串：This_n0t_fl4g

使用该字符串解压刚才的压缩包，得到 3.jpg 文件，使用 binwalk 查看依旧存在 ZIP 文件，于是继续分离出来

最终得到两个一模一样的图片，使用 Stegsolve 工具进行图片对比

发现出现很多像素点，确定是像素隐写，保存该图片为：solved.bmp，发现和原图对比数据杂乱因此尝试使用像素隐写解密工具进行解密

GitHub 搜索尝试几个工具后，最终发现此工具可以成功解密：https://github.com/HFO4/HideByPixel

md5 解密拿到 flag：flag{this_is_fl4g_icsc-^_^}

Reverse

简单的 APK 分析（签到）

解包 APK 得到 multiprotocol.tesla.scada 文件

反编译该文件通过对比正版软件，很容易得到 flag（为混淆前的类名）