Στις τελευταίες PHDdays 9 πραγματοποιήσαμε διαγωνισμό για να χακάρουμε ένα εργοστάσιο άντλησης αερίου - διαγωνισμός . Υπήρχαν τρεις βάσεις στον χώρο με διαφορετικές παραμέτρους ασφαλείας (Χωρίς ασφάλεια, Χαμηλή ασφάλεια, Υψηλή ασφάλεια), που μιμούνται την ίδια βιομηχανική διαδικασία: αέρας υπό πίεση αντλήθηκε σε ένα μπαλόνι (και στη συνέχεια απελευθερώθηκε).
Παρά τις διαφορετικές παραμέτρους ασφαλείας, η σύνθεση υλικού των περιπτέρων ήταν η ίδια: Siemens Simatic PLC S7-300 series. Κουμπί ξεφουσκώματος έκτακτης ανάγκης και συσκευή μέτρησης πίεσης (συνδεδεμένη με ψηφιακές εισόδους PLC (DI)). βαλβίδες που λειτουργούν για το φούσκωμα και το ξεφούσκωμα του αέρα (συνδεδεμένες με τις ψηφιακές εξόδους του PLC (DO)) - δείτε την παρακάτω εικόνα.
Το PLC, ανάλογα με τις ενδείξεις πίεσης και σύμφωνα με το πρόγραμμά του, έλαβε απόφαση να ξεφουσκώσει ή να φουσκώσει την μπάλα (άνοιξε και έκλεισε τις αντίστοιχες βαλβίδες). Ωστόσο, όλες οι βάσεις διέθεταν λειτουργία χειροκίνητου ελέγχου, που επέτρεπε τον έλεγχο των καταστάσεων των βαλβίδων χωρίς περιορισμούς.
Οι βάσεις διέφεραν ως προς την πολυπλοκότητα της ενεργοποίησης αυτής της λειτουργίας: στο απροστάτευτο περίπτερο ήταν πιο εύκολο να γίνει αυτό και στο περίπτερο Υψηλής Ασφάλειας ήταν αντίστοιχα πιο δύσκολο.
Πέντε από τα έξι προβλήματα λύθηκαν σε δύο ημέρες. Ο συμμετέχων στην πρώτη θέση κέρδισε 233 βαθμούς (πέρασε μια εβδομάδα προετοιμασίας για τον διαγωνισμό). Τρεις νικητές: I θέση - a1exdandy, II - Rubikoid, III - Ze.
Ωστόσο, κατά τη διάρκεια των PHDdays, κανένας από τους συμμετέχοντες δεν μπόρεσε να ξεπεράσει και τα τρία περίπτερα, έτσι αποφασίσαμε να κάνουμε έναν διαδικτυακό διαγωνισμό και δημοσιεύσαμε το πιο δύσκολο έργο στις αρχές Ιουνίου. Οι συμμετέχοντες έπρεπε να ολοκληρώσουν την εργασία μέσα σε ένα μήνα, να βρουν τη σημαία και να περιγράψουν τη λύση λεπτομερώς και με ενδιαφέροντα τρόπο.
Κάτω από την περικοπή δημοσιεύουμε μια ανάλυση της καλύτερης λύσης για την εργασία από αυτές που στάλθηκαν κατά τη διάρκεια του μήνα, βρέθηκε από τον Alexey Kovrizhnykh (a1exdandy) από την εταιρεία Digital Security, ο οποίος κατέλαβε την XNUMXη θέση στον διαγωνισμό κατά τη διάρκεια των PHDays. Παρακάτω παρουσιάζουμε το κείμενό του με τα σχόλιά μας.
Αρχική ανάλυση
Έτσι, η εργασία περιείχε ένα αρχείο με τα ακόλουθα αρχεία:
- block_upload_traffic.pcapng
- DB100.bin
- υποδείξεις.txt
Το αρχείο hints.txt περιέχει τις απαραίτητες πληροφορίες και συμβουλές για την επίλυση της εργασίας. Ιδού το περιεχόμενό του:
- Ο Petrovich μου είπε χθες ότι μπορείτε να φορτώσετε μπλοκ από το PlcSim στο Step7.
- Στο περίπτερο χρησιμοποιήθηκε το PLC της Siemens Simatic S7-300 series.
- Το PlcSim είναι ένας εξομοιωτής PLC που σας επιτρέπει να εκτελείτε και να διορθώνετε προγράμματα για PLC Siemens S7.
Το αρχείο DB100.bin φαίνεται να περιέχει το μπλοκ δεδομένων DB100 PLC: 00000000: 0100 0102 6e02 0401 0206 0100 0101 0102 ....n......... 00000010: 1002 0501 0202 . ..... ......... 2002: 0501 0206 0100 0102 00000020 0102 7702 0401a0206 ..w............. 0100: 0103 0102 0 02 00000030 0501 ................ 0202: 1602 0501 0206 0100 0104 0102 00000040a7502 0401 u................. 0206: 0100 0105 0102 0 02 0501 00000050 0202..........1602. 0501: 0206 0100 0106 0102 3402 4 00000060 0401 .........&..... 0206: 0100c0107 0102 2602 0501 0202 00000070 ....... : 4 02 0501 0206 0100a0108 0102 3302 0401 ................ 3: 00000080 0206 0100 0109a 0102 0 02 0501 .........0202. 1602a00000090: 0501 0206b 0100 010 0102 3702 0401 0206 ......".....F... 7b000000: 0 0100 010c 0102 2202 0501 . .. 0202c4602: 0501d 000000 0a0206 0100 010 0102 3302 0401 ................ 0206d0100: 3 000000e 0 010d0102 0 02 ....... .... 0501e0202: 1602 0501 0206 000000 0 0100 010 0102 ........#...... 6f02: 0401 0206 0100 010 000000 0 .....0102 . ..... 1102: 0501 0202 2302 0501 0206 0100 000000 0 ......%......... 0110: 0102 3502 0401 0206 0100 0111 ..... . .....&. 0102: 5 00000100 1202c0501 0202 2502 0501 ....L......
Όπως υποδηλώνει το όνομα, το αρχείο block_upload_traffic.pcapng περιέχει μια ένδειξη αποκλεισμού κίνησης μεταφόρτωσης στο PLC.
Αξίζει να σημειωθεί ότι αυτή η απόρριψη κίνησης στο χώρο του διαγωνισμού κατά τη διάρκεια του συνεδρίου ήταν λίγο πιο δύσκολο να επιτευχθεί. Για να γίνει αυτό, ήταν απαραίτητο να κατανοήσουμε το σενάριο από το αρχείο έργου για το TeslaSCADA2. Από αυτό ήταν δυνατό να καταλάβουμε πού βρισκόταν η χωματερή που κρυπτογραφήθηκε με χρήση RC4 και ποιο κλειδί έπρεπε να χρησιμοποιηθεί για την αποκρυπτογράφηση της. Θα μπορούσαν να ληφθούν απόρριψη μπλοκ δεδομένων στον ιστότοπο χρησιμοποιώντας τον πελάτη πρωτοκόλλου S7. Για αυτό χρησιμοποίησα το πρόγραμμα-πελάτη επίδειξης από το πακέτο Snap7.
Εξαγωγή μπλοκ επεξεργασίας σήματος από χωματερή κυκλοφορίας
Κοιτάζοντας τα περιεχόμενα του dump, μπορείτε να καταλάβετε ότι περιέχει μπλοκ επεξεργασίας σήματος OB1, FC1, FC2 και FC3:
Αυτά τα μπλοκ πρέπει να αφαιρεθούν. Αυτό μπορεί να γίνει, για παράδειγμα, με το ακόλουθο σενάριο, έχοντας προηγουμένως μετατρέψει την κίνηση από τη μορφή pcapng σε pcap:
#!/usr/bin/env python2
import struct
from scapy.all import *
packets = rdpcap('block_upload_traffic.pcap')
s7_hdr_struct = '>BBHHHHBB'
s7_hdr_sz = struct.calcsize(s7_hdr_struct)
tpkt_cotp_sz = 7
names = iter(['OB1.bin', 'FC1.bin', 'FC2.bin', 'FC3.bin'])
buf = ''
for packet in packets:
if packet.getlayer(IP).src == '10.0.102.11':
tpkt_cotp_s7 = str(packet.getlayer(TCP).payload)
if len(tpkt_cotp_s7) < tpkt_cotp_sz + s7_hdr_sz:
continue
s7 = tpkt_cotp_s7[tpkt_cotp_sz:]
s7_hdr = s7[:s7_hdr_sz]
param_sz = struct.unpack(s7_hdr_struct, s7_hdr)[4]
s7_param = s7[12:12+param_sz]
s7_data = s7[12+param_sz:]
if s7_param in ('x1ex00', 'x1ex01'): # upload
buf += s7_data[4:]
elif s7_param == 'x1f':
with open(next(names), 'wb') as f:
f.write(buf)
buf = ''Έχοντας εξετάσει τα μπλοκ που προκύπτουν, θα παρατηρήσετε ότι αρχίζουν πάντα με byte 70 70 (pp). Τώρα πρέπει να μάθετε πώς να τα αναλύετε. Η υπόδειξη ανάθεσης υποδηλώνει ότι πρέπει να χρησιμοποιήσετε το PlcSim για αυτό.
Λήψη αναγνώσιμων από τον άνθρωπο οδηγιών από μπλοκ
Αρχικά, ας προσπαθήσουμε να προγραμματίσουμε το S7-PlcSim φορτώνοντας πολλά μπλοκ με επαναλαμβανόμενες οδηγίες (= Q 0.0) σε αυτό χρησιμοποιώντας το λογισμικό Simatic Manager και αποθηκεύοντας το PLC που λαμβάνεται στον εξομοιωτή στο αρχείο example.plc. Εξετάζοντας τα περιεχόμενα του αρχείου, μπορείτε εύκολα να προσδιορίσετε την αρχή των ληφθέντων μπλοκ με την υπογραφή 70 70, την οποία ανακαλύψαμε νωρίτερα. Πριν από τα μπλοκ, προφανώς, το μέγεθος του μπλοκ είναι γραμμένο ως τιμή 4-byte μικρής τιμής endian.
Αφού λάβαμε πληροφορίες σχετικά με τη δομή των αρχείων plc, εμφανίστηκε το ακόλουθο σχέδιο δράσης για την ανάγνωση προγραμμάτων PLC S7:
- Χρησιμοποιώντας το Simatic Manager, δημιουργούμε μια δομή μπλοκ στο S7-PlcSim παρόμοια με αυτή που λάβαμε από το dump. Τα μεγέθη των μπλοκ πρέπει να ταιριάζουν (αυτό επιτυγχάνεται συμπληρώνοντας τα μπλοκ με τον απαιτούμενο αριθμό οδηγιών) και τα αναγνωριστικά τους (OB1, FC1, FC2, FC3).
- Αποθηκεύστε το PLC σε ένα αρχείο.
- Αντικαθιστούμε τα περιεχόμενα των μπλοκ στο αρχείο που προκύπτει με τα μπλοκ από την ένδειξη κυκλοφορίας. Η αρχή των μπλοκ καθορίζεται από την υπογραφή.
- Φορτώνουμε το αρχείο που προκύπτει στο S7-PlcSim και εξετάζουμε τα περιεχόμενα των μπλοκ στο Simatic Manager.
Τα μπλοκ μπορούν να αντικατασταθούν, για παράδειγμα, με τον ακόλουθο κώδικα:
with open('original.plc', 'rb') as f:
plc = f.read()
blocks = []
for fname in ['OB1.bin', 'FC1.bin', 'FC2.bin', 'FC3.bin']:
with open(fname, 'rb') as f:
blocks.append(f.read())
i = plc.find(b'pp')
for block in blocks:
plc = plc[:i] + block + plc[i+len(block):]
i = plc.find(b'pp', i + 1)
with open('target.plc', 'wb') as f:
f.write(plc)Ο Alexey πήρε έναν ίσως πιο δύσκολο, αλλά ακόμα σωστό δρόμο. Υποθέσαμε ότι οι συμμετέχοντες θα χρησιμοποιούσαν το πρόγραμμα NetToPlcSim έτσι ώστε το PlcSim να μπορεί να επικοινωνεί μέσω του δικτύου, να ανεβάζει μπλοκ στο PlcSim μέσω του Snap7 και στη συνέχεια να κατεβάζει αυτά τα μπλοκ ως έργο από το PlcSim χρησιμοποιώντας το περιβάλλον ανάπτυξης.
Ανοίγοντας το αρχείο που προκύπτει στο S7-PlcSim, μπορείτε να διαβάσετε τα μπλοκ που έχουν αντικατασταθεί χρησιμοποιώντας το Simatic Manager. Οι κύριες λειτουργίες ελέγχου της συσκευής καταγράφονται στο μπλοκ FC1. Αξίζει να σημειωθεί ιδιαίτερα η μεταβλητή #TEMP0, η οποία όταν είναι ενεργοποιημένη φαίνεται να θέτει τον έλεγχο PLC σε χειροκίνητη λειτουργία με βάση τις τιμές μνήμης bit M2.2 και M2.3. Η τιμή #TEMP0 ορίζεται από τη συνάρτηση FC3.
Για να λύσετε το πρόβλημα, πρέπει να αναλύσετε τη συνάρτηση FC3 και να κατανοήσετε τι πρέπει να γίνει ώστε να επιστρέψει μια λογική.
Τα μπλοκ επεξεργασίας σήματος PLC στο περίπτερο Χαμηλής Ασφάλειας στο χώρο του διαγωνισμού ήταν διατεταγμένα με παρόμοιο τρόπο, αλλά για να ορίσετε την τιμή της μεταβλητής #TEMP0, αρκούσε να γράψετε τη γραμμή my ninja way στο μπλοκ DB1. Ο έλεγχος της τιμής σε ένα μπλοκ ήταν απλός και δεν απαιτούσε βαθιά γνώση της γλώσσας προγραμματισμού μπλοκ. Προφανώς, σε επίπεδο Υψηλής Ασφάλειας, η επίτευξη χειροκίνητου ελέγχου θα είναι πολύ πιο δύσκολη και είναι απαραίτητο να κατανοήσουμε τις περιπλοκές της γλώσσας STL (ένας από τους τρόπους προγραμματισμού του S7 PLC).
Αντίστροφο μπλοκ FC3
Περιεχόμενα του μπλοκ FC3 στην αναπαράσταση STL:
L B#16#0
T #TEMP13
T #TEMP15
L P#DBX 0.0
T #TEMP4
CLR
= #TEMP14
M015: L #TEMP4
LAR1
OPN DB 100
L DBLG
TAR1
<=D
JC M016
L DW#16#0
T #TEMP0
L #TEMP6
L W#16#0
<>I
JC M00d
L P#DBX 0.0
LAR1
M00d: L B [AR1,P#0.0]
T #TEMP5
L W#16#1
==I
JC M007
L #TEMP5
L W#16#2
==I
JC M008
L #TEMP5
L W#16#3
==I
JC M00f
L #TEMP5
L W#16#4
==I
JC M00e
L #TEMP5
L W#16#5
==I
JC M011
L #TEMP5
L W#16#6
==I
JC M012
JU M010
M007: +AR1 P#1.0
L P#DBX 0.0
LAR2
L B [AR1,P#0.0]
L C#8
*I
+AR2
+AR1 P#1.0
L B [AR1,P#0.0]
JL M003
JU M001
JU M002
JU M004
M003: JU M005
M001: OPN DB 101
L B [AR2,P#0.0]
T #TEMP0
JU M006
M002: OPN DB 101
L B [AR2,P#0.0]
T #TEMP1
JU M006
M004: OPN DB 101
L B [AR2,P#0.0]
T #TEMP2
JU M006
M00f: +AR1 P#1.0
L B [AR1,P#0.0]
L C#8
*I
T #TEMP11
+AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP7
L P#M 100.0
LAR2
L #TEMP7
L C#8
*I
+AR2
TAR2 #TEMP9
TAR1 #TEMP4
OPN DB 101
L P#DBX 0.0
LAR1
L #TEMP11
+AR1
LAR2 #TEMP9
L B [AR2,P#0.0]
T B [AR1,P#0.0]
L #TEMP4
LAR1
JU M006
M008: +AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP3
+AR1 P#1.0
L B [AR1,P#0.0]
JL M009
JU M00b
JU M00a
JU M00c
M009: JU M005
M00b: L #TEMP3
T #TEMP0
JU M006
M00a: L #TEMP3
T #TEMP1
JU M006
M00c: L #TEMP3
T #TEMP2
JU M006
M00e: +AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP7
L P#M 100.0
LAR2
L #TEMP7
L C#8
*I
+AR2
TAR2 #TEMP9
+AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP8
L P#M 100.0
LAR2
L #TEMP8
L C#8
*I
+AR2
TAR2 #TEMP10
TAR1 #TEMP4
LAR1 #TEMP9
LAR2 #TEMP10
L B [AR1,P#0.0]
L B [AR2,P#0.0]
AW
INVI
T #TEMP12
L B [AR1,P#0.0]
L B [AR2,P#0.0]
OW
L #TEMP12
AW
T B [AR1,P#0.0]
L DW#16#0
T #TEMP0
L MB 101
T #TEMP1
L MB 102
T #TEMP2
L #TEMP4
LAR1
JU M006
M011: +AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP7
L P#M 100.0
LAR2
L #TEMP7
L C#8
*I
+AR2
TAR2 #TEMP9
+AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP8
L P#M 100.0
LAR2
L #TEMP8
L C#8
*I
+AR2
TAR2 #TEMP10
TAR1 #TEMP4
LAR1 #TEMP9
LAR2 #TEMP10
L B [AR1,P#0.0]
L B [AR2,P#0.0]
-I
T B [AR1,P#0.0]
L DW#16#0
T #TEMP0
L MB 101
T #TEMP1
L MB 102
T #TEMP2
L #TEMP4
LAR1
JU M006
M012: L #TEMP15
INC 1
T #TEMP15
+AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP7
L P#M 100.0
LAR2
L #TEMP7
L C#8
*I
+AR2
TAR2 #TEMP9
+AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP8
L P#M 100.0
LAR2
L #TEMP8
L C#8
*I
+AR2
TAR2 #TEMP10
TAR1 #TEMP4
LAR1 #TEMP9
LAR2 #TEMP10
L B [AR1,P#0.0]
L B [AR2,P#0.0]
==I
JCN M013
JU M014
M013: L P#DBX 0.0
LAR1
T #TEMP4
L B#16#0
T #TEMP6
JU M006
M014: L #TEMP4
LAR1
L #TEMP13
L L#1
+I
T #TEMP13
JU M006
M006: L #TEMP0
T MB 100
L #TEMP1
T MB 101
L #TEMP2
T MB 102
+AR1 P#1.0
L #TEMP6
+ 1
T #TEMP6
JU M005
M010: L P#DBX 0.0
LAR1
L 0
T #TEMP6
TAR1 #TEMP4
M005: TAR1 #TEMP4
CLR
= #TEMP16
L #TEMP13
L L#20
==I
S #TEMP16
L #TEMP15
==I
A #TEMP16
JC M017
L #TEMP13
L L#20
<I
S #TEMP16
L #TEMP15
==I
A #TEMP16
JC M018
JU M019
M017: SET
= #TEMP14
JU M016
M018: CLR
= #TEMP14
JU M016
M019: CLR
O #TEMP14
= #RET_VAL
JU M015
M016: CLR
O #TEMP14
= #RET_VALΟ κώδικας είναι αρκετά μεγάλος και μπορεί να φαίνεται περίπλοκος σε κάποιον που δεν είναι εξοικειωμένος με το STL. Δεν έχει νόημα να αναλύουμε κάθε οδηγία στο πλαίσιο αυτού του άρθρου· λεπτομερείς οδηγίες και δυνατότητες της γλώσσας STL μπορείτε να βρείτε στο αντίστοιχο εγχειρίδιο: . Εδώ θα παρουσιάσω τον ίδιο κώδικα μετά την επεξεργασία - μετονομασία των ετικετών και των μεταβλητών και την προσθήκη σχολίων που περιγράφουν τον αλγόριθμο λειτουργίας και ορισμένες κατασκευές γλώσσας STL. Επιτρέψτε μου να σημειώσω αμέσως ότι το εν λόγω μπλοκ περιέχει μια εικονική μηχανή που εκτελεί κάποιο bytecode που βρίσκεται στο μπλοκ DB100, τα περιεχόμενα του οποίου γνωρίζουμε. Οι οδηγίες εικονικής μηχανής αποτελούνται από 1 byte λειτουργικού κώδικα και byte ορισμάτων, ένα byte για κάθε όρισμα. Όλες οι εξεταζόμενες οδηγίες έχουν δύο ορίσματα· όρισα τις τιμές τους στα σχόλια ως X και Y.
Κωδικός μετά την επεξεργασία]
# Инициализация различных переменных
L B#16#0
T #CHECK_N # Счетчик успешно пройденных проверок
T #COUNTER_N # Счетчик общего количества проверок
L P#DBX 0.0
T #POINTER # Указатель на текущую инструкцию
CLR
= #PRE_RET_VAL
# Основной цикл работы интерпретатора байт-кода
LOOP: L #POINTER
LAR1
OPN DB 100
L DBLG
TAR1
<=D # Проверка выхода указателя за пределы программы
JC FINISH
L DW#16#0
T #REG0
L #TEMP6
L W#16#0
<>I
JC M00d
L P#DBX 0.0
LAR1
# Конструкция switch - case для обработки различных опкодов
M00d: L B [AR1,P#0.0]
T #OPCODE
L W#16#1
==I
JC OPCODE_1
L #OPCODE
L W#16#2
==I
JC OPCODE_2
L #OPCODE
L W#16#3
==I
JC OPCODE_3
L #OPCODE
L W#16#4
==I
JC OPCODE_4
L #OPCODE
L W#16#5
==I
JC OPCODE_5
L #OPCODE
L W#16#6
==I
JC OPCODE_6
JU OPCODE_OTHER
# Обработчик опкода 01: загрузка значения из DB101[X] в регистр Y
# OP01(X, Y): REG[Y] = DB101[X]
OPCODE_1: +AR1 P#1.0
L P#DBX 0.0
LAR2
L B [AR1,P#0.0] # Загрузка аргумента X (индекс в DB101)
L C#8
*I
+AR2
+AR1 P#1.0
L B [AR1,P#0.0] # Загрузка аргумента Y (индекс регистра)
JL M003 # Аналог switch - case на основе значения Y
JU M001 # для выбора необходимого регистра для записи.
JU M002 # Подобные конструкции используются и в других
JU M004 # операциях ниже для аналогичных целей
M003: JU LOOPEND
M001: OPN DB 101
L B [AR2,P#0.0]
T #REG0 # Запись значения DB101[X] в REG[0]
JU PRE_LOOPEND
M002: OPN DB 101
L B [AR2,P#0.0]
T #REG1 # Запись значения DB101[X] в REG[1]
JU PRE_LOOPEND
M004: OPN DB 101
L B [AR2,P#0.0]
T #REG2 # Запись значения DB101[X] в REG[2]
JU PRE_LOOPEND
# Обработчик опкода 02: загрузка значения X в регистр Y
# OP02(X, Y): REG[Y] = X
OPCODE_2: +AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP3
+AR1 P#1.0
L B [AR1,P#0.0]
JL M009
JU M00b
JU M00a
JU M00c
M009: JU LOOPEND
M00b: L #TEMP3
T #REG0
JU PRE_LOOPEND
M00a: L #TEMP3
T #REG1
JU PRE_LOOPEND
M00c: L #TEMP3
T #REG2
JU PRE_LOOPEND
# Опкод 03 не используется в программе, поэтому пропустим его
...
# Обработчик опкода 04: сравнение регистров X и Y
# OP04(X, Y): REG[0] = 0; REG[X] = (REG[X] == REG[Y])
OPCODE_4: +AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP7 # первый аргумент - X
L P#M 100.0
LAR2
L #TEMP7
L C#8
*I
+AR2
TAR2 #TEMP9 # REG[X]
+AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP8
L P#M 100.0
LAR2
L #TEMP8
L C#8
*I
+AR2
TAR2 #TEMP10 # REG[Y]
TAR1 #POINTER
LAR1 #TEMP9 # REG[X]
LAR2 #TEMP10 # REG[Y]
L B [AR1,P#0.0]
L B [AR2,P#0.0]
AW
INVI
T #TEMP12 # ~(REG[Y] & REG[X])
L B [AR1,P#0.0]
L B [AR2,P#0.0]
OW
L #TEMP12
AW # (~(REG[Y] & REG[X])) & (REG[Y] | REG[X]) - аналог проверки на равенство
T B [AR1,P#0.0]
L DW#16#0
T #REG0
L MB 101
T #REG1
L MB 102
T #REG2
L #POINTER
LAR1
JU PRE_LOOPEND
# Обработчик опкода 05: вычитание регистра Y из X
# OP05(X, Y): REG[0] = 0; REG[X] = REG[X] - REG[Y]
OPCODE_5: +AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP7
L P#M 100.0
LAR2
L #TEMP7
L C#8
*I
+AR2
TAR2 #TEMP9 # REG[X]
+AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP8
L P#M 100.0
LAR2
L #TEMP8
L C#8
*I
+AR2
TAR2 #TEMP10 # REG[Y]
TAR1 #POINTER
LAR1 #TEMP9
LAR2 #TEMP10
L B [AR1,P#0.0]
L B [AR2,P#0.0]
-I # ACCU1 = ACCU2 - ACCU1, REG[X] - REG[Y]
T B [AR1,P#0.0]
L DW#16#0
T #REG0
L MB 101
T #REG1
L MB 102
T #REG2
L #POINTER
LAR1
JU PRE_LOOPEND
# Обработчик опкода 06: инкремент #CHECK_N при равенстве регистров X и Y
# OP06(X, Y): #CHECK_N += (1 if REG[X] == REG[Y] else 0)
OPCODE_6: L #COUNTER_N
INC 1
T #COUNTER_N
+AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP7 # REG[X]
L P#M 100.0
LAR2
L #TEMP7
L C#8
*I
+AR2
TAR2 #TEMP9 # REG[X]
+AR1 P#1.0
L B [AR1,P#0.0]
T #TEMP8
L P#M 100.0
LAR2
L #TEMP8
L C#8
*I
+AR2
TAR2 #TEMP10 # REG[Y]
TAR1 #POINTER
LAR1 #TEMP9 # REG[Y]
LAR2 #TEMP10 # REG[X]
L B [AR1,P#0.0]
L B [AR2,P#0.0]
==I
JCN M013
JU M014
M013: L P#DBX 0.0
LAR1
T #POINTER
L B#16#0
T #TEMP6
JU PRE_LOOPEND
M014: L #POINTER
LAR1
# Инкремент значения #CHECK_N
L #CHECK_N
L L#1
+I
T #CHECK_N
JU PRE_LOOPEND
PRE_LOOPEND: L #REG0
T MB 100
L #REG1
T MB 101
L #REG2
T MB 102
+AR1 P#1.0
L #TEMP6
+ 1
T #TEMP6
JU LOOPEND
OPCODE_OTHER: L P#DBX 0.0
LAR1
L 0
T #TEMP6
TAR1 #POINTER
LOOPEND: TAR1 #POINTER
CLR
= #TEMP16
L #CHECK_N
L L#20
==I
S #TEMP16
L #COUNTER_N
==I
A #TEMP16
# Все проверки пройдены, если #CHECK_N == #COUNTER_N == 20
JC GOOD
L #CHECK_N
L L#20
<I
S #TEMP16
L #COUNTER_N
==I
A #TEMP16
JC FAIL
JU M019
GOOD: SET
= #PRE_RET_VAL
JU FINISH
FAIL: CLR
= #PRE_RET_VAL
JU FINISH
M019: CLR
O #PRE_RET_VAL
= #RET_VAL
JU LOOP
FINISH: CLR
O #PRE_RET_VAL
= #RET_VALΈχοντας μια ιδέα για τις οδηγίες της εικονικής μηχανής, ας γράψουμε έναν μικρό αποσυναρμολογητή για να αναλύσουμε τον bytecode στο μπλοκ DB100:
import string
alph = string.ascii_letters + string.digits
with open('DB100.bin', 'rb') as f:
m = f.read()
pc = 0
while pc < len(m):
op = m[pc]
if op == 1:
print('R{} = DB101[{}]'.format(m[pc + 2], m[pc + 1]))
pc += 3
elif op == 2:
c = chr(m[pc + 1])
c = c if c in alph else '?'
print('R{} = {:02x} ({})'.format(m[pc + 2], m[pc + 1], c))
pc += 3
elif op == 4:
print('R0 = 0; R{} = (R{} == R{})'.format(
m[pc + 1], m[pc + 1], m[pc + 2]))
pc += 3
elif op == 5:
print('R0 = 0; R{} = R{} - R{}'.format(
m[pc + 1], m[pc + 1], m[pc + 2]))
pc += 3
elif op == 6:
print('CHECK (R{} == R{})n'.format(
m[pc + 1], m[pc + 2]))
pc += 3
else:
print('unk opcode {}'.format(op))
breakΩς αποτέλεσμα, λαμβάνουμε τον ακόλουθο κώδικα εικονικής μηχανής:
Κωδικός εικονικής μηχανής
R1 = DB101[0]
R2 = 6e (n)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)
R1 = DB101[1]
R2 = 10 (?)
R0 = 0; R1 = R1 - R2
R2 = 20 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)
R1 = DB101[2]
R2 = 77 (w)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)
R1 = DB101[3]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)
R1 = DB101[4]
R2 = 75 (u)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)
R1 = DB101[5]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)
R1 = DB101[6]
R2 = 34 (4)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)
R1 = DB101[7]
R2 = 26 (?)
R0 = 0; R1 = R1 - R2
R2 = 4c (L)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)
R1 = DB101[8]
R2 = 33 (3)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)
R1 = DB101[9]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)
R1 = DB101[10]
R2 = 37 (7)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)
R1 = DB101[11]
R2 = 22 (?)
R0 = 0; R1 = R1 - R2
R2 = 46 (F)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)
R1 = DB101[12]
R2 = 33 (3)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)
R1 = DB101[13]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)
R1 = DB101[14]
R2 = 6d (m)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)
R1 = DB101[15]
R2 = 11 (?)
R0 = 0; R1 = R1 - R2
R2 = 23 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)
R1 = DB101[16]
R2 = 35 (5)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)
R1 = DB101[17]
R2 = 12 (?)
R0 = 0; R1 = R1 - R2
R2 = 25 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)
R1 = DB101[18]
R2 = 33 (3)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)
R1 = DB101[19]
R2 = 26 (?)
R0 = 0; R1 = R1 - R2
R2 = 4c (L)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)Όπως μπορείτε να δείτε, αυτό το πρόγραμμα απλώς ελέγχει κάθε χαρακτήρα από το DB101 για ισότητα σε μια συγκεκριμένη τιμή. Η τελική γραμμή για τη διεξαγωγή όλων των ελέγχων είναι: n0w u 4r3 7h3 m4573r. Εάν αυτή η γραμμή τοποθετηθεί στο μπλοκ DB101, τότε ενεργοποιείται ο χειροκίνητος έλεγχος PLC και θα είναι δυνατό να εκραγεί ή να ξεφουσκώσει το μπαλόνι.
Αυτό είναι όλο! Ο Alexey επέδειξε υψηλό επίπεδο γνώσεων αντάξιο ενός βιομηχανικού ninja :) Στείλαμε αξέχαστα βραβεία στον νικητή. Ευχαριστώ πολύ όλους τους συμμετέχοντες!
Πηγή: www.habr.com