🥇In the footsteps of Industrial Ninja: របៀបដែល PLC ត្រូវបាន hacked នៅ Positive Hack Days 9

នៅ PHDays 9 ចុងក្រោយ យើងបានរៀបចំការប្រកួតប្រជែងមួយដើម្បី hack រោងចក្របូមឧស្ម័ន - ការប្រកួតប្រជែង Ninja ឧស្សាហកម្ម. មានកន្លែងឈរចំនួនបីនៅលើគេហទំព័រដែលមានប៉ារ៉ាម៉ែត្រសុវត្ថិភាពផ្សេងៗគ្នា (គ្មានសន្តិសុខ សុវត្ថិភាពទាប សុវត្ថិភាពខ្ពស់) ដោយត្រាប់តាមដំណើរការឧស្សាហកម្មដូចគ្នា៖ ខ្យល់ក្រោមសម្ពាធត្រូវបានបូមចូលទៅក្នុងប៉េងប៉ោងមួយ (ហើយបន្ទាប់មកបញ្ចេញ)។

ទោះបីជាមានប៉ារ៉ាម៉ែត្រសុវត្ថិភាពខុសៗគ្នាក៏ដោយ សមាសភាពផ្នែករឹងនៃកន្លែងឈរគឺដូចគ្នា៖ ស៊េរី Siemens Simatic PLC S7-300; ប៊ូតុងបរិត្តផរណាសង្គ្រោះបន្ទាន់ និងឧបករណ៍វាស់សម្ពាធ (ភ្ជាប់ជាមួយធាតុបញ្ចូលឌីជីថល PLC (DI)); វ៉ាល់ដែលដំណើរការសម្រាប់អតិផរណា និងបរិត្តផរណានៃខ្យល់ (ភ្ជាប់ទៅនឹងលទ្ធផលឌីជីថលនៃ PLC (DO)) - សូមមើលរូបខាងក្រោម។

PLC អាស្រ័យលើការអានសម្ពាធ និងអនុលោមតាមកម្មវិធីរបស់វា បានធ្វើការសម្រេចចិត្តដើម្បីធ្វើឱ្យខូច ឬបំប៉ោងបាល់ (បើក និងបិទវ៉ាល់ដែលត្រូវគ្នា)។ ទោះយ៉ាងណាក៏ដោយ ទីតាំងទាំងអស់មានរបៀបគ្រប់គ្រងដោយដៃ ដែលធ្វើឱ្យវាអាចគ្រប់គ្រងស្ថានភាពនៃសន្ទះបិទបើកបានដោយគ្មានការរឹតបន្តឹងណាមួយឡើយ។

កន្លែងឈរមានភាពខុសគ្នាក្នុងភាពស្មុគស្មាញនៃការបើករបៀបនេះ៖ នៅទីតាំងដែលមិនមានការការពារ វាងាយស្រួលបំផុតក្នុងការធ្វើវា ហើយនៅទីតាំងសុវត្ថិភាពខ្ពស់ វាមានការលំបាកជាង។

បញ្ហាប្រាំក្នុងចំណោមប្រាំមួយត្រូវបានដោះស្រាយក្នុងរយៈពេលពីរថ្ងៃ; អ្នកចូលរួមចំណាត់ថ្នាក់លេខ 233 ទទួលបាន 1 ពិន្ទុ (គាត់បានចំណាយពេលមួយសប្តាហ៍រៀបចំសម្រាប់ការប្រកួត) ។ អ្នកឈ្នះបីនាក់៖ ខ្ញុំដាក់ - aXNUMXexdandy, II - Rubikoid, III - Ze ។

ទោះជាយ៉ាងណាក៏ដោយ ក្នុងអំឡុងពេល PHDays គ្មានអ្នកចូលរួមណាម្នាក់អាចយកឈ្នះលើជំហរទាំងបីបានទេ ដូច្នេះហើយយើងបានសម្រេចចិត្តបង្កើតការប្រកួតប្រជែងតាមអ៊ីនធឺណិត ហើយបោះផ្សាយកិច្ចការដ៏លំបាកបំផុតនៅដើមខែមិថុនា។ អ្នកចូលរួមត្រូវបំពេញភារកិច្ចក្នុងរយៈពេលមួយខែ ស្វែងរកទង់ជាតិ និងពណ៌នាអំពីដំណោះស្រាយយ៉ាងលម្អិត និងតាមរបៀបគួរឱ្យចាប់អារម្មណ៍។

ខាងក្រោមការកាត់នេះ យើងបោះពុម្ពផ្សាយការវិភាគនៃដំណោះស្រាយដ៏ល្អបំផុតចំពោះកិច្ចការពីអ្នកដែលបានផ្ញើក្នុងរយៈពេលមួយខែ វាត្រូវបានរកឃើញដោយ Alexey Kovrizhnykh (a1exdandy) មកពីក្រុមហ៊ុន Digital Security ដែលបានដណ្ដើមចំណាត់ថ្នាក់លេខ XNUMX ក្នុងការប្រកួតប្រជែងក្នុងអំឡុងពេល PHDays ។ ខាងក្រោមនេះ យើងបង្ហាញអត្ថបទរបស់វាជាមួយនឹងមតិយោបល់របស់យើង។

ការវិភាគបឋម

ដូច្នេះ កិច្ចការមានបណ្ណសារដែលមានឯកសារដូចខាងក្រោម៖

block_upload_traffic.pcapng
DB100.bin
ព័ត៌មានជំនួយ.txt

ឯកសារ hints.txt មានព័ត៌មានចាំបាច់ និងព័ត៌មានជំនួយដើម្បីដោះស្រាយកិច្ចការ។ នេះជាខ្លឹមសាររបស់វា៖

Petrovich បានប្រាប់ខ្ញុំកាលពីម្សិលមិញថាអ្នកអាចផ្ទុកប្លុកពី PlcSim ចូលទៅក្នុងជំហានទី 7 ។

Siemens Simatic S7-300 ស៊េរី PLC ត្រូវបានប្រើនៅកន្លែងឈរ។

PlcSim គឺជាកម្មវិធីត្រាប់តាម PLC ដែលអនុញ្ញាតឱ្យអ្នកដំណើរការ និងបំបាត់កំហុសកម្មវិធីសម្រាប់ Siemens S7 PLCs ។

ឯកសារ DB100.bin ហាក់ដូចជាមានប្លុកទិន្នន័យ DB100 PLC៖ 00000000: 0100 0102 6e02 0401 0206 0100 0101 0102 ....n......... 00000010: 1002 0501 0202 ០១០២. ..... ......... 2002: 0501 0206 0100 0102 00000020 0102 7702 0401a0206 ..w............. 0100: 0103 0102 0 02 00000030 0501 ................ 0202: 1602 0501 0206 0100 0104 0102 00000040a7502 0401 u............... 0206: 0100 0105 0102 0 02 0501 ០១០២ ៣៤០២............៤. 00000050: 0202 1602 0501 0206 0100 0106 0102 3402 ............&..... 4: 00000060c0401 0206 0100 0107 0102 2602 ...... : 0501 0202 00000070 4 02a0501 0206 0100 0108 ................ 0102: 3302 0401 3 00000080a 0206 0100 0109 0102 .......... ៧. 0a02: 0501 0202b 1602 00000090 0501 0206 0100 010......".....F... 0102b3702: 0401 0206 7c........ 000000 0 0100.... .. 010c0102: 2202d 0501 0202a4602 0501 000000 0 0206 0100 ................ 010d0102: 3302 0401e 0206 0100d3 000000 0 ...... .... 010e0102: 0 02 0501 0202 1602 0501 0206 000000 ........#...... 0f0100: 010 0102 6 02 0401 0206..... ..... 0100: 010 000000 0 0102 1102 0501 0202 2302......%......... 0501: 0206 0100 000000 0 0110 0102 ..... .....&.3502:0401 0206 0100c0111 0102 5 00000100 ....L......

ដូចដែលឈ្មោះបានបង្ហាញ ឯកសារ block_upload_traffic.pcapng ផ្ទុកនូវចរាចរណ៍ផ្ទុកឡើងប្លុកទៅ PLC ។

គួរកត់សម្គាល់ថាការចោលចរាចរនេះនៅកន្លែងប្រកួតប្រជែងក្នុងអំឡុងពេលសន្និសីទគឺពិបាកជាងបន្តិចក្នុងការទទួលបាន។ ដើម្បីធ្វើដូច្នេះបាន ចាំបាច់ត្រូវយល់អំពីស្គ្រីបពីឯកសារគម្រោងសម្រាប់ TeslaSCADA2។ ពីវាអាចយល់បានថាកន្លែងបោះចោលដែលបានអ៊ិនគ្រីបដោយប្រើ RC4 មានទីតាំងនៅ និងអ្វីដែលត្រូវការប្រើសោដើម្បីឌិគ្រីបវា។ ការបោះចោលប្លុកទិន្នន័យនៅលើគេហទំព័រអាចទទួលបានដោយប្រើម៉ាស៊ីនភ្ញៀវពិធីការ S7 ។ សម្រាប់រឿងនេះ ខ្ញុំបានប្រើម៉ាស៊ីនភ្ញៀវសាកល្បងពីកញ្ចប់ Snap7 ។

ការទាញយកប្លុកដំណើរការសញ្ញាចេញពីកន្លែងចាក់សំរាម

ក្រឡេកមើលខ្លឹមសារនៃកន្លែងចាក់សំរាម អ្នកអាចយល់បានថាវាមានប្លុកដំណើរការសញ្ញា OB1, FC1, FC2 និង FC3៖

ប្លុកទាំងនេះត្រូវតែយកចេញ។ នេះអាចត្រូវបានធ្វើ ជាឧទាហរណ៍ ជាមួយនឹងស្គ្រីបខាងក្រោម ដោយបានបំប្លែងចរាចរពីទម្រង់ pcapng ទៅជា pcap ពីមុន៖

#!/usr/bin/env python2

import struct
from scapy.all import *

packets = rdpcap('block_upload_traffic.pcap')
s7_hdr_struct = '>BBHHHHBB'
s7_hdr_sz = struct.calcsize(s7_hdr_struct)
tpkt_cotp_sz = 7
names = iter(['OB1.bin', 'FC1.bin', 'FC2.bin', 'FC3.bin'])
buf = ''

for packet in packets:
    if packet.getlayer(IP).src == '10.0.102.11':
        tpkt_cotp_s7 = str(packet.getlayer(TCP).payload)
        if len(tpkt_cotp_s7) < tpkt_cotp_sz + s7_hdr_sz:
            continue
        s7 = tpkt_cotp_s7[tpkt_cotp_sz:]
        s7_hdr = s7[:s7_hdr_sz]
        param_sz = struct.unpack(s7_hdr_struct, s7_hdr)[4]
        s7_param = s7[12:12+param_sz]
        s7_data = s7[12+param_sz:]
        if s7_param in ('x1ex00', 'x1ex01'):  # upload
            buf += s7_data[4:]
        elif s7_param == 'x1f':
            with open(next(names), 'wb') as f:
                f.write(buf)
            buf = ''

ដោយបានពិនិត្យមើលប្លុកលទ្ធផល អ្នកនឹងសម្គាល់ឃើញថាពួកវាតែងតែចាប់ផ្តើមដោយបៃ 70 70 (pp)។ ឥឡូវអ្នកត្រូវរៀនពីរបៀបវិភាគពួកគេ។ ការណែនាំអំពីកិច្ចការណែនាំថាអ្នកត្រូវប្រើ PlcSim សម្រាប់រឿងនេះ។

ទទួលបានការណែនាំដែលអាចអានបានរបស់មនុស្សពីប្លុក

ជាដំបូង យើងព្យាយាមសរសេរកម្មវិធី S7-PlcSim ដោយផ្ទុកប្លុកជាច្រើនជាមួយនឹងការណែនាំដដែលៗ (= Q 0.0) ទៅក្នុងវាដោយប្រើកម្មវិធីគ្រប់គ្រង Simmatic ហើយរក្សាទុក PLC ដែលទទួលបានក្នុងកម្មវិធីត្រាប់តាមទៅឯកសារ example.plc ។ ដោយមើលលើខ្លឹមសារនៃឯកសារ អ្នកអាចកំណត់បានយ៉ាងងាយស្រួលនូវការចាប់ផ្តើមនៃប្លុកដែលបានទាញយកដោយហត្ថលេខា 70 70 ដែលយើងបានរកឃើញមុន។ មុននឹងប្លុក ជាក់ស្តែង ទំហំប្លុកត្រូវបានសរសេរជាតម្លៃ 4-byte little-endian ។

បន្ទាប់ពីយើងបានទទួលព័ត៌មានអំពីរចនាសម្ព័ន្ធនៃឯកសារភីអិលស៊ី ផែនការសកម្មភាពខាងក្រោមបានលេចឡើងសម្រាប់ការអានកម្មវិធី PLC S7៖

ដោយប្រើកម្មវិធីគ្រប់គ្រង Simatic យើងបង្កើតរចនាសម្ព័ន្ធប្លុកនៅក្នុង S7-PlcSim ស្រដៀងនឹងអ្វីដែលយើងបានទទួលពីកន្លែងចាក់សំរាម។ ទំហំប្លុកត្រូវតែផ្គូផ្គង (នេះត្រូវបានសម្រេចដោយការបំពេញប្លុកជាមួយនឹងចំនួនការណែនាំដែលត្រូវការ) និងការកំណត់អត្តសញ្ញាណរបស់ពួកគេ (OB1, FC1, FC2, FC3) ។
រក្សាទុក PLC ទៅក្នុងឯកសារមួយ។
យើងជំនួសមាតិកានៃប្លុកនៅក្នុងឯកសារលទ្ធផលជាមួយនឹងប្លុកពីកន្លែងចាក់សំរាម។ ការចាប់ផ្តើមនៃប្លុកត្រូវបានកំណត់ដោយហត្ថលេខា។
យើងផ្ទុកឯកសារលទ្ធផលទៅក្នុង S7-PlcSim ហើយមើលមាតិកានៃប្លុកនៅក្នុងកម្មវិធីគ្រប់គ្រងស៊ីមិក។

ប្លុកអាចត្រូវបានជំនួសឧទាហរណ៍ដោយលេខកូដខាងក្រោម៖

with open('original.plc', 'rb') as f:
    plc = f.read()
blocks = []
for fname in ['OB1.bin', 'FC1.bin', 'FC2.bin', 'FC3.bin']:
    with open(fname, 'rb') as f:
        blocks.append(f.read())

i = plc.find(b'pp')
for block in blocks:
    plc = plc[:i] + block + plc[i+len(block):]
    i = plc.find(b'pp', i + 1)

with open('target.plc', 'wb') as f:
    f.write(plc)

Alexey បានយកផ្លូវពិបាកជាង ប៉ុន្តែនៅតែត្រឹមត្រូវ យើងសន្មត់ថាអ្នកចូលរួមនឹងប្រើកម្មវិធី NetToPlcSim ដូច្នេះ PlcSim អាចទំនាក់ទំនងតាមបណ្តាញ បង្ហោះប្លុកទៅ PlcSim តាមរយៈ Snap7 ហើយបន្ទាប់មកទាញយកប្លុកទាំងនេះជាគម្រោងពី PlcSim ដោយប្រើបរិយាកាសអភិវឌ្ឍន៍។

ដោយការបើកឯកសារលទ្ធផលនៅក្នុង S7-PlcSim អ្នកអាចអានប្លុកដែលសរសេរជាន់លើដោយប្រើកម្មវិធីគ្រប់គ្រងស៊ីមិក។ មុខងារគ្រប់គ្រងឧបករណ៍សំខាន់ៗត្រូវបានកត់ត្រានៅក្នុងប្លុក FC1 ។ ចំណាំពិសេសគឺអថេរ #TEMP0 ដែលនៅពេលបើកហាក់ដូចជាកំណត់ការគ្រប់គ្រង PLC ទៅជារបៀបដោយដៃដោយផ្អែកលើតម្លៃអង្គចងចាំ M2.2 និង M2.3 ប៊ីត។ តម្លៃ #TEMP0 ត្រូវបានកំណត់ដោយអនុគមន៍ FC3។

ដើម្បីដោះស្រាយបញ្ហា អ្នកត្រូវវិភាគមុខងារ FC3 ហើយយល់ពីអ្វីដែលត្រូវធ្វើ ដើម្បីឱ្យវាត្រឡប់ជាឡូជីខល។

ប្លុកដំណើរការសញ្ញា PLC នៅទីតាំង Low Security នៅកន្លែងប្រកួតប្រជែងត្រូវបានរៀបចំតាមរបៀបស្រដៀងគ្នា ប៉ុន្តែដើម្បីកំណត់តម្លៃនៃអថេរ #TEMP0 វាគ្រប់គ្រាន់ហើយក្នុងការសរសេរបន្ទាត់វិធី Ninja របស់ខ្ញុំទៅក្នុងប្លុក DB1។ ការពិនិត្យមើលតម្លៃនៅក្នុងប្លុកគឺត្រង់ហើយមិនទាមទារចំណេះដឹងជ្រៅជ្រះនៃភាសាសរសេរកម្មវិធីប្លុកទេ។ ជាក់ស្តែង នៅកម្រិតសុវត្ថិភាពខ្ពស់ ការសម្រេចបាននូវការគ្រប់គ្រងដោយដៃនឹងពិបាកជាង ហើយវាចាំបាច់ក្នុងការស្វែងយល់ពីភាពស្មុគ្រស្មាញនៃភាសា STL (វិធីមួយក្នុងចំណោមវិធីដើម្បីសរសេរកម្មវិធី S7 PLC) ។

ប្លុកបញ្ច្រាស FC3

ខ្លឹមសារនៃប្លុក FC3 ក្នុងតំណាង STL៖

      L     B#16#0
      T     #TEMP13
      T     #TEMP15
      L     P#DBX 0.0
      T     #TEMP4
      CLR   
      =     #TEMP14
M015: L     #TEMP4
      LAR1  
      OPN   DB   100
      L     DBLG
      TAR1  
      <=D   
      JC    M016
      L     DW#16#0
      T     #TEMP0
      L     #TEMP6
      L     W#16#0
      <>I   
      JC    M00d
      L     P#DBX 0.0
      LAR1  
M00d: L     B [AR1,P#0.0]
      T     #TEMP5
      L     W#16#1
      ==I   
      JC    M007
      L     #TEMP5
      L     W#16#2
      ==I   
      JC    M008
      L     #TEMP5
      L     W#16#3
      ==I   
      JC    M00f
      L     #TEMP5
      L     W#16#4
      ==I   
      JC    M00e
      L     #TEMP5
      L     W#16#5
      ==I   
      JC    M011
      L     #TEMP5
      L     W#16#6
      ==I   
      JC    M012
      JU    M010
M007: +AR1  P#1.0
      L     P#DBX 0.0
      LAR2  
      L     B [AR1,P#0.0]
      L     C#8
      *I    
      +AR2  
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      JL    M003
      JU    M001
      JU    M002
      JU    M004
M003: JU    M005
M001: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #TEMP0
      JU    M006
M002: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #TEMP1
      JU    M006
M004: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #TEMP2
      JU    M006
M00f: +AR1  P#1.0
      L     B [AR1,P#0.0]
      L     C#8
      *I    
      T     #TEMP11
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9
      TAR1  #TEMP4
      OPN   DB   101
      L     P#DBX 0.0
      LAR1  
      L     #TEMP11
      +AR1  
      LAR2  #TEMP9
      L     B [AR2,P#0.0]
      T     B [AR1,P#0.0]
      L     #TEMP4
      LAR1  
      JU    M006
M008: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP3
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      JL    M009
      JU    M00b
      JU    M00a
      JU    M00c
M009: JU    M005
M00b: L     #TEMP3
      T     #TEMP0
      JU    M006
M00a: L     #TEMP3
      T     #TEMP1
      JU    M006
M00c: L     #TEMP3
      T     #TEMP2
      JU    M006
M00e: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10
      TAR1  #TEMP4
      LAR1  #TEMP9
      LAR2  #TEMP10
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      AW    
      INVI  
      T     #TEMP12
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      OW    
      L     #TEMP12
      AW    
      T     B [AR1,P#0.0]
      L     DW#16#0
      T     #TEMP0
      L     MB   101
      T     #TEMP1
      L     MB   102
      T     #TEMP2
      L     #TEMP4
      LAR1  
      JU    M006
M011: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10
      TAR1  #TEMP4
      LAR1  #TEMP9
      LAR2  #TEMP10
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      -I    
      T     B [AR1,P#0.0]
      L     DW#16#0
      T     #TEMP0
      L     MB   101
      T     #TEMP1
      L     MB   102
      T     #TEMP2
      L     #TEMP4
      LAR1  
      JU    M006
M012: L     #TEMP15
      INC   1
      T     #TEMP15
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10
      TAR1  #TEMP4
      LAR1  #TEMP9
      LAR2  #TEMP10
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      ==I   
      JCN   M013
      JU    M014
M013: L     P#DBX 0.0
      LAR1  
      T     #TEMP4
      L     B#16#0
      T     #TEMP6
      JU    M006
M014: L     #TEMP4
      LAR1  
      L     #TEMP13
      L     L#1
      +I    
      T     #TEMP13
      JU    M006
M006: L     #TEMP0
      T     MB   100
      L     #TEMP1
      T     MB   101
      L     #TEMP2
      T     MB   102
      +AR1  P#1.0
      L     #TEMP6
      +     1
      T     #TEMP6
      JU    M005
M010: L     P#DBX 0.0
      LAR1  
      L     0
      T     #TEMP6
      TAR1  #TEMP4
M005: TAR1  #TEMP4
      CLR   
      =     #TEMP16
      L     #TEMP13
      L     L#20
      ==I   
      S     #TEMP16
      L     #TEMP15
      ==I   
      A     #TEMP16
      JC    M017
      L     #TEMP13
      L     L#20
      <I    
      S     #TEMP16
      L     #TEMP15
      ==I   
      A     #TEMP16
      JC    M018
      JU    M019
M017: SET   
      =     #TEMP14
      JU    M016
M018: CLR   
      =     #TEMP14
      JU    M016
M019: CLR   
      O     #TEMP14
      =     #RET_VAL
      JU    M015
M016: CLR   
      O     #TEMP14
      =     #RET_VAL

កូដនេះមានប្រវែងវែងណាស់ ហើយហាក់ដូចជាស្មុគស្មាញចំពោះអ្នកដែលមិនស្គាល់ STL។ មិនមានចំណុចណាមួយក្នុងការវិភាគការណែនាំនីមួយៗក្នុងក្របខ័ណ្ឌនៃអត្ថបទនេះទេ ការណែនាំលម្អិត និងសមត្ថភាពនៃភាសា STL អាចត្រូវបានរកឃើញនៅក្នុងសៀវភៅណែនាំដែលត្រូវគ្នា៖ បញ្ជីសេចក្តីថ្លែងការណ៍ (STL) សម្រាប់កម្មវិធី S7-300 និង S7-400. នៅទីនេះខ្ញុំនឹងបង្ហាញកូដដូចគ្នាបន្ទាប់ពីដំណើរការ - ប្តូរឈ្មោះស្លាក និងអថេរ និងបន្ថែមមតិយោបល់ដែលពិពណ៌នាអំពីក្បួនដោះស្រាយប្រតិបត្តិការ និងរចនាសម្ព័ន្ធភាសា STL មួយចំនួន។ អនុញ្ញាតឱ្យខ្ញុំកត់សម្គាល់ភ្លាមៗថាប្លុកនៅក្នុងសំណួរមានម៉ាស៊ីននិម្មិតដែលប្រតិបត្តិកូដបៃមួយចំនួនដែលមានទីតាំងនៅប្លុក DB100 ដែលជាខ្លឹមសារដែលយើងដឹង។ ការណែនាំរបស់ម៉ាស៊ីននិម្មិតមាន 1 បៃនៃកូដប្រតិបត្តិការ និងបៃនៃអាគុយម៉ង់ មួយបៃសម្រាប់អាគុយម៉ង់នីមួយៗ។ ការណែនាំដែលបានពិចារណាទាំងអស់មានអាគុយម៉ង់ពីរ ខ្ញុំបានកំណត់តម្លៃរបស់ពួកគេនៅក្នុងមតិយោបល់ជា X និង Y ។

កូដបន្ទាប់ពីដំណើរការ]

# Инициализация различных переменных
      L     B#16#0
      T     #CHECK_N        # Счетчик успешно пройденных проверок
      T     #COUNTER_N      # Счетчик общего количества проверок
      L     P#DBX 0.0
      T     #POINTER        # Указатель на текущую инструкцию
      CLR   
      =     #PRE_RET_VAL

# Основной цикл работы интерпретатора байт-кода
LOOP: L     #POINTER
      LAR1  
      OPN   DB   100
      L     DBLG
      TAR1  
      <=D                   # Проверка выхода указателя за пределы программы
      JC    FINISH
      L     DW#16#0
      T     #REG0
      L     #TEMP6
      L     W#16#0
      <>I   
      JC    M00d
      L     P#DBX 0.0
      LAR1  

# Конструкция switch - case для обработки различных опкодов
M00d: L     B [AR1,P#0.0]
      T     #OPCODE
      L     W#16#1
      ==I   
      JC    OPCODE_1
      L     #OPCODE
      L     W#16#2
      ==I   
      JC    OPCODE_2
      L     #OPCODE
      L     W#16#3
      ==I   
      JC    OPCODE_3
      L     #OPCODE
      L     W#16#4
      ==I   
      JC    OPCODE_4
      L     #OPCODE
      L     W#16#5
      ==I   
      JC    OPCODE_5
      L     #OPCODE
      L     W#16#6
      ==I   
      JC    OPCODE_6
      JU    OPCODE_OTHER

# Обработчик опкода 01: загрузка значения из DB101[X] в регистр Y
# OP01(X, Y): REG[Y] = DB101[X]
OPCODE_1: +AR1  P#1.0
      L     P#DBX 0.0
      LAR2  
      L     B [AR1,P#0.0]   # Загрузка аргумента X (индекс в DB101)
      L     C#8
      *I    
      +AR2  
      +AR1  P#1.0
      L     B [AR1,P#0.0]   # Загрузка аргумента Y (индекс регистра)
      JL    M003            # Аналог switch - case на основе значения Y
      JU    M001            # для выбора необходимого регистра для записи.
      JU    M002            # Подобные конструкции используются и в других
      JU    M004            # операциях ниже для аналогичных целей
M003: JU    LOOPEND
M001: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #REG0           # Запись значения DB101[X] в REG[0]
      JU    PRE_LOOPEND
M002: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #REG1           # Запись значения DB101[X] в REG[1]
      JU    PRE_LOOPEND
M004: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #REG2           # Запись значения DB101[X] в REG[2]
      JU    PRE_LOOPEND

# Обработчик опкода 02: загрузка значения X в регистр Y
# OP02(X, Y): REG[Y] = X
OPCODE_2: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP3
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      JL    M009
      JU    M00b
      JU    M00a
      JU    M00c
M009: JU    LOOPEND
M00b: L     #TEMP3
      T     #REG0
      JU    PRE_LOOPEND
M00a: L     #TEMP3
      T     #REG1
      JU    PRE_LOOPEND
M00c: L     #TEMP3
      T     #REG2
      JU    PRE_LOOPEND

# Опкод 03 не используется в программе, поэтому пропустим его
...

# Обработчик опкода 04: сравнение регистров X и Y
# OP04(X, Y): REG[0] = 0; REG[X] = (REG[X] == REG[Y])
OPCODE_4: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7          # первый аргумент - X
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9          # REG[X]
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10         # REG[Y]
      TAR1  #POINTER
      LAR1  #TEMP9          # REG[X]
      LAR2  #TEMP10         # REG[Y]
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      AW    
      INVI  
      T     #TEMP12         # ~(REG[Y] & REG[X])
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      OW    
      L     #TEMP12
      AW                    # (~(REG[Y] & REG[X])) & (REG[Y] | REG[X]) - аналог проверки на равенство
      T     B [AR1,P#0.0]
      L     DW#16#0
      T     #REG0
      L     MB   101
      T     #REG1
      L     MB   102
      T     #REG2
      L     #POINTER
      LAR1  
      JU    PRE_LOOPEND

# Обработчик опкода 05: вычитание регистра Y из X
# OP05(X, Y): REG[0] = 0; REG[X] = REG[X] - REG[Y]
OPCODE_5: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9          # REG[X]
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10         # REG[Y]
      TAR1  #POINTER
      LAR1  #TEMP9
      LAR2  #TEMP10
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      -I                    # ACCU1 = ACCU2 - ACCU1, REG[X] - REG[Y]
      T     B [AR1,P#0.0]
      L     DW#16#0
      T     #REG0
      L     MB   101
      T     #REG1
      L     MB   102
      T     #REG2
      L     #POINTER
      LAR1  
      JU    PRE_LOOPEND

# Обработчик опкода 06: инкремент #CHECK_N при равенстве регистров X и Y
# OP06(X, Y): #CHECK_N += (1 if REG[X] == REG[Y] else 0)
OPCODE_6: L     #COUNTER_N
      INC   1
      T     #COUNTER_N
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7          #  REG[X]     
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9          #  REG[X]  
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10         # REG[Y]
      TAR1  #POINTER
      LAR1  #TEMP9          # REG[Y]
      LAR2  #TEMP10         # REG[X]
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      ==I   
      JCN   M013
      JU    M014
M013: L     P#DBX 0.0
      LAR1  
      T     #POINTER
      L     B#16#0
      T     #TEMP6
      JU    PRE_LOOPEND
M014: L     #POINTER
      LAR1  
# Инкремент значения #CHECK_N
      L     #CHECK_N
      L     L#1
      +I    
      T     #CHECK_N
      JU    PRE_LOOPEND

PRE_LOOPEND: L     #REG0
      T     MB   100
      L     #REG1
      T     MB   101
      L     #REG2
      T     MB   102
      +AR1  P#1.0
      L     #TEMP6
      +     1
      T     #TEMP6
      JU    LOOPEND

OPCODE_OTHER: L     P#DBX 0.0
      LAR1  
      L     0
      T     #TEMP6
      TAR1  #POINTER

LOOPEND: TAR1  #POINTER
      CLR   
      =     #TEMP16
      L     #CHECK_N
      L     L#20
      ==I   
      S     #TEMP16
      L     #COUNTER_N
      ==I   
      A     #TEMP16
# Все проверки пройдены, если #CHECK_N == #COUNTER_N == 20
      JC    GOOD
      L     #CHECK_N
      L     L#20
      <I    
      S     #TEMP16
      L     #COUNTER_N
      ==I   
      A     #TEMP16
      JC    FAIL
      JU    M019
GOOD: SET   
      =     #PRE_RET_VAL
      JU    FINISH
FAIL: CLR   
      =     #PRE_RET_VAL
      JU    FINISH
M019: CLR   
      O     #PRE_RET_VAL
      =     #RET_VAL
      JU    LOOP
FINISH: CLR   
      O     #PRE_RET_VAL
      =     #RET_VAL

ដោយទទួលបានគំនិតនៃការណែនាំរបស់ម៉ាស៊ីននិម្មិត សូមសរសេរឧបករណ៍បំបែកតូចមួយដើម្បីញែក bytecode នៅក្នុងប្លុក DB100៖

import string
alph = string.ascii_letters + string.digits

with open('DB100.bin', 'rb') as f:
    m = f.read()

pc = 0

while pc < len(m):
    op = m[pc]
    if op == 1:
        print('R{} = DB101[{}]'.format(m[pc + 2], m[pc + 1]))
        pc += 3
    elif op == 2:
        c = chr(m[pc + 1])
        c = c if c in alph else '?'
        print('R{} = {:02x} ({})'.format(m[pc + 2], m[pc + 1], c))
        pc += 3
    elif op == 4:
        print('R0 = 0; R{} = (R{} == R{})'.format(
            m[pc + 1], m[pc + 1], m[pc + 2]))
        pc += 3
    elif op == 5:
        print('R0 = 0; R{} = R{} - R{}'.format(
            m[pc + 1], m[pc + 1], m[pc + 2]))
        pc += 3
    elif op == 6:
        print('CHECK (R{} == R{})n'.format(
            m[pc + 1], m[pc + 2]))
        pc += 3
    else:
        print('unk opcode {}'.format(op))
        break

ជាលទ្ធផល យើងទទួលបានកូដម៉ាស៊ីននិម្មិតដូចខាងក្រោម៖

កូដម៉ាស៊ីននិម្មិត

R1 = DB101[0]
R2 = 6e (n)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[1]
R2 = 10 (?)
R0 = 0; R1 = R1 - R2
R2 = 20 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[2]
R2 = 77 (w)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[3]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[4]
R2 = 75 (u)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[5]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[6]
R2 = 34 (4)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[7]
R2 = 26 (?)
R0 = 0; R1 = R1 - R2
R2 = 4c (L)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[8]
R2 = 33 (3)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[9]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[10]
R2 = 37 (7)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[11]
R2 = 22 (?)
R0 = 0; R1 = R1 - R2
R2 = 46 (F)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[12]
R2 = 33 (3)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[13]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[14]
R2 = 6d (m)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[15]
R2 = 11 (?)
R0 = 0; R1 = R1 - R2
R2 = 23 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[16]
R2 = 35 (5)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[17]
R2 = 12 (?)
R0 = 0; R1 = R1 - R2
R2 = 25 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[18]
R2 = 33 (3)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[19]
R2 = 26 (?)
R0 = 0; R1 = R1 - R2
R2 = 4c (L)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

ដូចដែលអ្នកអាចឃើញកម្មវិធីនេះគ្រាន់តែពិនិត្យមើលតួអក្សរនីមួយៗពី DB101 សម្រាប់ភាពស្មើគ្នាទៅនឹងតម្លៃជាក់លាក់មួយ។ បន្ទាត់ចុងក្រោយសម្រាប់ការឆ្លងកាត់ការត្រួតពិនិត្យទាំងអស់គឺ: n0w u 4r3 7h3 m4573r ។ ប្រសិនបើខ្សែនេះត្រូវបានដាក់ក្នុងប្លុក DB101 នោះការគ្រប់គ្រង PLC ដោយដៃត្រូវបានធ្វើឱ្យសកម្ម ហើយវានឹងអាចផ្ទុះ ឬធ្វើឱ្យប៉ោងប៉ោងបាន។ 

អស់ហើយ! Alexey បានបង្ហាញពីកម្រិតខ្ពស់នៃចំណេះដឹងដែលសក្តិសមជា Ninja ឧស្សាហកម្ម :) យើងបានផ្ញើរង្វាន់ដែលមិនអាចបំភ្លេចបានដល់អ្នកឈ្នះ។ អរគុណច្រើនចំពោះអ្នកចូលរួមទាំងអស់!

ប្រភព: www.habr.com

តាមគន្លងនៃ Industrial Ninja៖ របៀបដែល PLC ត្រូវបាន hack នៅឯ Positive Hack Days 9

ការវិភាគបឋម

ការទាញយកប្លុកដំណើរការសញ្ញាចេញពីកន្លែងចាក់សំរាម

ទទួលបានការណែនាំដែលអាចអានបានរបស់មនុស្សពីប្លុក

ប្លុកបញ្ច្រាស FC3

បន្ថែមមតិយោបល់ ответОтменить