TIA S7Comm-Plus Wireshark Dissector

[Jochen Kühner]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hallo,

hab eine Frage zu dem Dissector.

Soll dieser den S7-1500 Telegrammverkehr schon entschlüsseln können?

Ich sehe immer nur Telegramme: S7COMMPlus inner Fragment
Wo die data dann unkown ist.

 

[Thomas_v2.1]

Bei fragmentierten Telegrammen musst du das Frame mit dem "reassembled" anwählen, dort sind dann unter Data die gesamten zusammengesetzten Daten aus allen Einzel-Fragmenten zu finden, denn nur dann lassen sich alle Daten auch verarbeiten. Wenn es zusammengesetzt (reassembled) werden konnte, dann gibt es bei jedem Fragment einen Link mit "Reassembled in: xy", dort ist xy die Frame-Nr. aus dem Wireshark Log bei dem alles zusammengesetzt wurde. Das ist ein Link, d.h. wenn man dort draufklickt springt die Anzeige direkt zu dem passenden Frame. Das kann auch schon mal eine große Anzahl an Frames sein die dort zusammengefügt wurden. Mit Zlib komprimierte Daten werden auch direkt im Baum entpackt, darum kann das Laden von großen Aufzeichnungen mit S7comm-plus auch schon mal einen Moment dauern.

Hast du eine Aufzeichnung mitten in einem solchen Fragment gestartet oder gestoppt, funktioniert das Zusammensetzen natürlich nicht. Dann ist der Link mit "Reassembled" auch nicht vorhanden.

Was sonst auch noch möglich wäre, dass ich ein Fragmentierungsverfahren noch nicht kenne oder das nicht alle Fälle erkennt. Dann müsste ich mir das mal in Detail ansehen. Bei allen Aufzeichnungen die mir vorliegen, hat das aber bisher immer funktioniert.

 

[Jochen Kühner]

Zuviel Werbung?
-> Hier kostenlos registrieren

Danke habs gefunden... Hatte meinen Filter falsch, daher waren nur die drin (shame on me)

 

[tp23031990]

Hallo. Ich hätte hier auch eine Frage zu. Ich versuche mit Wireshark die Kommunikation mit einer 1511 aufzuzeichnen.
Allerdings hab ich im Wireshark dann keine S7coo und auch keine S7comm-plus Pakete.
Hat jemand eine Ahnung was ich da falsch machen könnte?
Ich bin auf Windows10, die CPU ist eine 1511-1-PN, TIA V17 U5 und die Pakete wurden mit Ethernet aufgezeichnet wo nur mein Laptop angeschlossen war.
Eventuell hab ich da irgendwo was falsch eingestellt, oder wird mit TIA V17 kein s7Comm(Plus) mehr verwendet?
Im Anhang noch meine 2 Aufzeichnungen. 1x wo die CPU auf Stop geswitcht wurde und 1x auf Run, jeweils übers TIA Portal.

 

[Thomas_v2.1]

Also bei mir werden in beiden Aufzeichnungen S7comm-Plus Daten in Wireshark angezeigt, es wird auch noch kein TLS verwendet.

Hast du die s7comm_plus.dll im passenden Verzeichnis abgelegt, und ist diese auch passen zu deiner Wireshark Version? Es gibt eigentlich einen Fehler wenn beim Laden der dll etwas schief geht, z.B. nicht passende Version. Ansonsten kannst du auch testen, ob du als Filter in der Filterzeile s7comm-plus eingeben kannst, und ob die Zeile dann grün bleibt.

 

[tp23031990]

Zuviel Werbung?
-> Hier kostenlos registrieren

Wirklich? Mit meinen Aufzeichnungen?
Ich dachte, dass s7comm mittlerweile fix implementiert ist in wireshark? Zumindest steht es so bei sourceforge...
Ich hab glaub ich irgendwas falsch dabei noch...

 

[Thomas_v2.1]

Ich dachte, dass s7comm mittlerweile fix implementiert ist in wireshark? Zumindest steht es so bei sourceforge...
Ich hab glaub ich irgendwas falsch dabei noch...

s7comm, ja (d.h. alles für die S7-300/400). Das neue für die S7-1200/1500 (s7comm-plus) geht zur Zeit nur noch mit der dll.

 

[tp23031990]

Ah ok...
Und wo find ich das denn? Gibts da eine Anleitung dafür irgendwo?

 

[Thomas_v2.1]

Zuviel Werbung?
-> Hier kostenlos registrieren

Ah ok...
Und wo find ich das denn? Gibts da eine Anleitung dafür irgendwo?

S7comm Wireshark dissector plugin - Browse Files at SourceForge.net

Wireshark dissector for S7 communication. This Wireshark dissector plugin (dll) dissects the ISOonTCP-packets for communication to Siemens S7…

sourceforge.net

Bei 64 Bit Wireshark Version 4.0.x kannst du die letzte Version verwenden. Die dort enthaltene s7comm_plus.dll packst du in das Verzeichnis plugins\4.0\epan im Programmverzeichnis von Wireshark. Steht so auch in der Readme des zip Archivs. Wenn du Wireshark startest, wird diese dll automatisch erkannt und geladen.

 

[tp23031990]

Danke.