Sonstiges Was zeigt ein SPS durch telnet / modbus / ssh an?

mg343

Level-1
Beiträge
3
Reaktionspunkte
1
Zuviel Werbung?
-> Hier kostenlos registrieren
Hallo zusammen,

für ein Projekt baue ich einen Honeypot, der einige Interaktionsmöglichkeiten und verschiedene SPS simulieren soll. Der SPS soll über
- Telnet
- SSH
- Modbus
(- Step7)
- Website

ansprechbar sein und dabei möglichst authentisch antworten. Da ich leider nur Zugriff auf einen SPS habe, bin ich euch für jede Information und Hilfestellung dankbar.
Wie antworten SPS auf die oben genannten anfragen (was wir angezeigt / ausgegeben? Bestimmte Befehlsübersichten, ... oder ähnliches)
Gibt es Bücher / Websiten / Dokumente durch die ich diese Information erhalten kann?

Grüße
 
Guck dir am besten an wonach die Skripte von irgenwelchen Suchtools forschen. Bei Siemens ist das TCP-Port 102, wenn du den aufmachst, dann kannst du schonmal viele "Sicherheitsforscher" einsacken.
Einige Teile einer S7 kannst du mit Snap7 emulieren, einfacher und realistischer wäre es aber, wenn du dir bei Ebay ein paar gebrauchte Sachen hinstellst und die aus dem Internet erreichbar machst.
Dann wird auch gerne nach Webseiten von integrierten Webservern der SPS gesucht. Da gibt es bestimmte Standardseiten wonach diese Skripte ebenfalls suchen. Also einen Webserver aufsetzen, die Standardseiten nachbilden, und dann Port 80 aufmachen.
Dahinter gehört dann eine "interessante" Anlage. Also Wasserwerk, irgendwas mit Energie macht sich auch immer gut.
Dazu gehört dann auch eine ereichbare Visualisierung, am einfachsten ebenfalls über http erreichbar. Am besten du bildest sowas wie atvise nach, das ist bekannt dafür dass es nicht gut geschützt ist, und lockt viele "Forscher" an.

Damit das alles realistisch wirkt, ist das schon einiges an Aufwand. Die "Sicherheitsforscher" ohne weitergehende Kenntnisse lassen sich aber auch mit einer einfachen Simulation schon anlocken. Ich wollte sowas auch schonmal aufsetzen, aber mir ist das dann doch zu viel Aufwand.
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Mir geht es besonders um die angezeigten Informationen. Woher erfahre ich, wie die Website eines bestimmten SPS aussieht?
Dasselbe Problem habe ich mit Telnet oder S7. Wie antwortet eine bestimmte SPS ?
Das Ziel soll mehr als eine einfache Simulation sein, sondern tiefergehende Interaktion ermöglichen.
 
Telnet gibt es bei der S7 nicht, bzw. gab es nur eine bestimmte Firmware bei der Telnet "aus Versehen" offen gelassen wurde. Bei Siemens würde ich Telnet für so einen Honeypot ignorieren.

Wie so eine Webseite aussieht, siehst du wenn du eine aufrufst ;-) Mit etwas Glück findest du eine im Netz, der vielleicht auch so einen Honeypot wie du aufgesetzt hat.
Oder du besorgst dir wiederum echte Hardware, was auch am realistischsten wirkt. Über den Port 102 kann die SPS auch neu programmiert werden, das Programm und Hardwarekonfiguration von der SPS heruntergeladen werden. Wenn das realistisch sein soll, dann muss das alles zusammenpassen. Dazu gehören dann auch Busteilnehmer am Profibus / Profinet. Das lässt sich alles über Port 102 auslesen. Wenn ich dann sehen würde, da ist nur eine SPS mit einer EA-Karte, dann weiß ich sofort dass es keine echte Anlage ist.
Die meisten von denen die dich "hacken" wollen, sind aber keine SPS-Techniker. Guck dir mal ein paar Vorlesungen vom CCC an, die mögen zwar teilweise Ahnung haben, aber nicht von SPS und Anlagentechnik. Für diese "Hacker" sind die SPS-Leute aber die dümmsten auf der Welt.
 
Unter der Annahme, dass diese Angreifer wenig/gar keine Kentnisse von SPS haben, könnte eine Telnet Verbindung offen gelassen werden.
Wie sieht den für die oben genannte Firmware das Dateisystem aus?
Welche Befehle lassen sich ausführen? Gibt es typische linux befehle die sich ausführen lassen (cd, uname, ls,...)?

Telnet ist untypisch für SPS. Wie sieht das für SSH aus?
Falls es SSH gibt, würde mich interessieren ob meine Fragen bzgl. Dateisystem und (Linux-)Befehle für SSH ebenfalls zutreffen.

Du schreibst, dass Port 102 und 80 meist offen sind und dazu dann vielleicht noch 443 (https).
Wie sieht es mit weiteren Ports aus?
Modbus (port 502) dürfte offen sein. Welche weiteren Ports und Protokollen sollte ich mir anschauen?

Ich bin dir sehr dankbar für deine Antworten. Diese waren sehr informative.
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Bei Siemens ist es - wie schon gesagt - Port 80, 102 und 443.
Bei den meisten Codesys-Steuerung gibt es deutlich mehr.
Hier findest du telnet, ssh, modbus, ntp, Windows-Freigaben usw.
Je nach Hersteller, Basisbetriebssystem und Unvermögen des Programmierers.
Interessant sind auch die bei den Panels. Da findet man alles.

Gruß
Dieter
 
Zurück
Oben