ProHoster > blog > Utawala > Katika nyayo za Ninja ya Viwanda: jinsi PLC ilidukuliwa katika Siku 9 za Udukuzi chanya

Katika nyayo za Ninja ya Viwanda: jinsi PLC ilidukuliwa katika Siku 9 za Udukuzi chanya

Katika nyayo za Ninja ya Viwanda: jinsi PLC ilidukuliwa katika Siku 9 za Udukuzi chanya

Katika PHDays 9 zilizopita tulifanya shindano la kudukua mtambo wa kusukuma gesi - ushindani Ninja ya Viwanda. Kulikuwa na vituo vitatu kwenye tovuti na vigezo tofauti vya usalama (Hakuna Usalama, Usalama wa Chini, Usalama wa Juu), kuiga mchakato huo wa viwanda: hewa chini ya shinikizo ilipigwa kwenye puto (na kisha kutolewa).

Licha ya vigezo tofauti vya usalama, muundo wa vifaa vya anasimama ulikuwa sawa: Siemens Simatic PLC S7-300 mfululizo; kifungo cha dharura cha deflation na kifaa cha kupima shinikizo (kilichounganishwa na pembejeo za digital za PLC (DI)); valves zinazofanya kazi kwa mfumuko wa bei na kupungua kwa hewa (zilizounganishwa na matokeo ya digital ya PLC (DO)) - tazama takwimu hapa chini.

Katika nyayo za Ninja ya Viwanda: jinsi PLC ilidukuliwa katika Siku 9 za Udukuzi chanya

PLC, kulingana na usomaji wa shinikizo na kwa mujibu wa programu yake, ilifanya uamuzi wa kufuta au kuingiza mpira (kufungua na kufungwa valves sambamba). Hata hivyo, vituo vyote vilikuwa na hali ya udhibiti wa mwongozo, ambayo ilifanya iwezekanavyo kudhibiti majimbo ya valves bila vikwazo vyovyote.

Viwanja vilitofautiana katika ugumu wa kuwezesha hali hii: katika nafasi isiyolindwa ilikuwa rahisi kufanya hivyo, na katika nafasi ya Usalama wa Juu ilikuwa vigumu zaidi.

Matatizo matano kati ya sita yalitatuliwa kwa siku mbili; Mshiriki wa nafasi ya kwanza alipata pointi 233 (alitumia wiki kujiandaa kwa shindano). Washindi watatu: Ninaweka - a1exdandy, II - Rubikoid, III - Ze.

Hata hivyo, wakati wa PHDays, hakuna hata mmoja wa washiriki aliyeweza kushinda misimamo yote mitatu, kwa hivyo tuliamua kufanya shindano la mtandaoni na tukachapisha kazi ngumu zaidi mwanzoni mwa Juni. Washiriki walipaswa kukamilisha kazi ndani ya mwezi mmoja, kupata bendera, na kuelezea suluhisho kwa undani na kwa njia ya kuvutia.

Chini ya kata tunachapisha uchambuzi wa suluhisho bora kwa kazi kutoka kwa wale waliotumwa zaidi ya mwezi, ilipatikana na Alexey Kovrizhnykh (a1exdandy) kutoka kampuni ya Digital Security, ambaye alichukua nafasi ya XNUMX katika ushindani wakati wa PHDays. Hapo chini tunawasilisha maandishi yake na maoni yetu.

Uchambuzi wa awali

Kwa hivyo, kazi hiyo ilikuwa na kumbukumbu na faili zifuatazo:

  • block_upload_traffic.pcapng
  • DB100.bin
  • vidokezo.txt

Faili ya hints.txt ina taarifa muhimu na vidokezo vya kutatua kazi. Hapa kuna yaliyomo:

  1. Petrovich aliniambia jana kuwa unaweza kupakia vizuizi kutoka PlcSim hadi Step7.
  2. Mfululizo wa Siemens Simatic S7-300 PLC ulitumiwa kwenye stendi.
  3. PlcSim ni emulator ya PLC inayokuruhusu kuendesha na kutatua programu za Nokia S7 PLC.

Faili ya DB100.bin inaonekana kuwa na kizuizi cha data cha DB100 PLC: 00000000: 0100 0102 6e02 0401 0206 0100 0101 0102 ....n......... 00000010: 1002 0501 0202 2002 0501 0206 0100 . ..... ......... 0102: 00000020 0102 7702 0401 0206 0100 0103 0102a0 ..w............. 02: 00000030 0501 0202 1602 0501 0206 ................ 0100: 0104 0102 00000040 7502 0401 0206 0100a0105 0102 u............... 0: 02 0501 00000050 0202 1602 0501 0206 0100............0106. 0102: 3402 4 00000060 0401 0206 0100 0107 0102 .........&..... 2602: 0501c0202 00000070 4 02 0501 0206 0100 .........&..... 0108: 0102c3302 0401 3 00000080 0206 0100 0109 ......... : 0102 0 02 0501 0202a1602 00000090 0501 0206 ................ 0100: 010 0102 3702 0401a 0206 7 000000 0 ............ 0100a010: 0102 2202b 0501 0202 4602 0501 000000 0 ......".....F... 0206b0100: 010 0102 3302c 0401 0206 0100 ... .3 .. 000000c0: 010d 0102 0a02 0501 0202 1602 0501 0206 ................ 000000d0: 0100 010e 0102 6d02 0401 0206 0100 ... .... 010e000000: 0 0102 1102 0501 0202 2302 0501 0206 ........#...... 0100f000000: 0 0110 0102 3502 0401 0206 ....0100 .... ..... 0111: 0102 5 00000100 1202 0501 0202 2502 0501 .........%......... 0206: 0100 0112 00000110 0102 3302 0401 ..... 0206 . ......&. 0100: 0113 0102 2602c3 00000120 0501 0202 ....L......

Kama jina linavyopendekeza, faili ya block_upload_traffic.pcapng ina dampo la trafiki ya upakiaji wa block kwenye PLC.

Inafaa kukumbuka kuwa utupaji huu wa trafiki kwenye tovuti ya shindano wakati wa mkutano ulikuwa ngumu zaidi kupata. Ili kufanya hivyo, ilikuwa ni lazima kuelewa hati kutoka kwa faili ya mradi wa TeslaSCADA2. Kutoka kwake iliwezekana kuelewa mahali ambapo dampo lililosimbwa kwa kutumia RC4 lilipatikana na ni ufunguo gani unaohitajika kutumika ili kusimbua. Utupaji wa vizuizi vya data kwenye tovuti unaweza kupatikana kwa kutumia mteja wa itifaki ya S7. Kwa hili nilitumia mteja wa onyesho kutoka kwa kifurushi cha Snap7.

Kuchimba vizuizi vya usindikaji wa mawimbi kutoka kwenye jalala la trafiki

Ukiangalia yaliyomo kwenye dampo, unaweza kuelewa kuwa ina vizuizi vya usindikaji wa mawimbi OB1, FC1, FC2 na FC3:

Katika nyayo za Ninja ya Viwanda: jinsi PLC ilidukuliwa katika Siku 9 za Udukuzi chanya

Vitalu hivi lazima viondolewe. Hii inaweza kufanywa, kwa mfano, na hati ifuatayo, ikiwa imebadilisha hapo awali trafiki kutoka kwa umbizo la pcapng hadi pcap:

#!/usr/bin/env python2

import struct
from scapy.all import *

packets = rdpcap('block_upload_traffic.pcap')
s7_hdr_struct = '>BBHHHHBB'
s7_hdr_sz = struct.calcsize(s7_hdr_struct)
tpkt_cotp_sz = 7
names = iter(['OB1.bin', 'FC1.bin', 'FC2.bin', 'FC3.bin'])
buf = ''

for packet in packets:
    if packet.getlayer(IP).src == '10.0.102.11':
        tpkt_cotp_s7 = str(packet.getlayer(TCP).payload)
        if len(tpkt_cotp_s7) < tpkt_cotp_sz + s7_hdr_sz:
            continue
        s7 = tpkt_cotp_s7[tpkt_cotp_sz:]
        s7_hdr = s7[:s7_hdr_sz]
        param_sz = struct.unpack(s7_hdr_struct, s7_hdr)[4]
        s7_param = s7[12:12+param_sz]
        s7_data = s7[12+param_sz:]
        if s7_param in ('x1ex00', 'x1ex01'):  # upload
            buf += s7_data[4:]
        elif s7_param == 'x1f':
            with open(next(names), 'wb') as f:
                f.write(buf)
            buf = ''

Baada ya kukagua vizuizi vilivyosababishwa, utaona kuwa kila wakati huanza na ka 70 70 (pp). Sasa unahitaji kujifunza jinsi ya kuzichambua. Kidokezo cha mgawo kinapendekeza kuwa unahitaji kutumia PlcSim kwa hili.

Kupata maagizo yanayoweza kusomeka na binadamu kutoka kwa vizuizi

Kwanza, hebu tujaribu kupanga S7-PlcSim kwa kupakia vitalu kadhaa na maagizo ya kurudia (= Q 0.0) ndani yake kwa kutumia programu ya Simatic Manager, na kuokoa PLC iliyopatikana katika emulator kwa faili ya example.plc. Kwa kuangalia yaliyomo kwenye faili, unaweza kuamua kwa urahisi mwanzo wa vitalu vilivyopakuliwa kwa saini 70 70, ambayo tuligundua mapema. Kabla ya vizuizi, inaonekana, saizi ya block imeandikwa kama thamani ya 4-byte kidogo-endian.

Katika nyayo za Ninja ya Viwanda: jinsi PLC ilidukuliwa katika Siku 9 za Udukuzi chanya

Baada ya kupokea taarifa kuhusu muundo wa faili za plc, mpango wa utekelezaji ufuatao ulionekana wa kusoma programu za PLC S7:

  1. Kwa kutumia Kidhibiti cha Simatic, tunaunda muundo wa kuzuia katika S7-PlcSim sawa na ule tuliopokea kutoka kwenye dampo. Ukubwa wa vitalu lazima ulingane (hii inafanikiwa kwa kujaza vizuizi kwa idadi inayotakiwa ya maagizo) na vitambulisho vyake (OB1, FC1, FC2, FC3).
  2. Hifadhi PLC kwenye faili.
  3. Tunabadilisha yaliyomo kwenye vizuizi kwenye faili inayosababishwa na vizuizi kutoka kwa dampo la trafiki. Mwanzo wa vitalu imedhamiriwa na saini.
  4. Tunapakia faili inayotokana na S7-PlcSim na kuangalia yaliyomo kwenye vizuizi kwenye Kidhibiti cha Simatic.

Vitalu vinaweza kubadilishwa, kwa mfano, na nambari ifuatayo:

with open('original.plc', 'rb') as f:
    plc = f.read()
blocks = []
for fname in ['OB1.bin', 'FC1.bin', 'FC2.bin', 'FC3.bin']:
    with open(fname, 'rb') as f:
        blocks.append(f.read())

i = plc.find(b'pp')
for block in blocks:
    plc = plc[:i] + block + plc[i+len(block):]
    i = plc.find(b'pp', i + 1)

with open('target.plc', 'wb') as f:
    f.write(plc)

Alexey alichukua njia ngumu zaidi, lakini bado ni sahihi. Tulidhani kuwa washiriki wangetumia programu ya NetToPlcSim ili PlcSim iweze kuwasiliana kupitia mtandao, kupakia vizuizi kwenye PlcSim kupitia Snap7, na kisha kupakua vizuizi hivi kama mradi kutoka PlcSim kwa kutumia mazingira ya usanidi.

Kwa kufungua faili inayotokana katika S7-PlcSim, unaweza kusoma vizuizi vilivyoandikwa tena kwa kutumia Kidhibiti cha Simatic. Vipengele kuu vya udhibiti wa kifaa vimerekodiwa kwenye block FC1. Ya kukumbukwa hasa ni #TEMP0 variable, ambayo inapowashwa inaonekana kuweka udhibiti wa PLC kwa hali ya mwongozo kulingana na maadili ya kumbukumbu ya M2.2 na M2.3. Thamani ya #TEMP0 imewekwa na chaguo za kukokotoa FC3.

Katika nyayo za Ninja ya Viwanda: jinsi PLC ilidukuliwa katika Siku 9 za Udukuzi chanya

Ili kutatua tatizo, unahitaji kuchanganua utendaji wa FC3 na kuelewa ni nini kifanyike ili kurudisha mantiki.

Vitalu vya usindikaji wa mawimbi ya PLC kwenye uwanja wa Usalama wa Chini kwenye tovuti ya shindano vilipangwa kwa njia sawa, lakini ili kuweka thamani ya #TEMP0 kutofautiana, ilitosha kuandika mstari kwa njia yangu ya ninja kwenye kizuizi cha DB1. Kuangalia thamani katika block ilikuwa moja kwa moja na haukuhitaji ujuzi wa kina wa lugha ya kuzuia programu. Kwa wazi, katika ngazi ya Usalama wa Juu, kufikia udhibiti wa mwongozo itakuwa vigumu zaidi na ni muhimu kuelewa ugumu wa lugha ya STL (moja ya njia za kupanga S7 PLC).

Kizuizi cha kinyume FC3

Yaliyomo kwenye kizuizi cha FC3 katika uwakilishi wa STL:

      L     B#16#0
      T     #TEMP13
      T     #TEMP15
      L     P#DBX 0.0
      T     #TEMP4
      CLR   
      =     #TEMP14
M015: L     #TEMP4
      LAR1  
      OPN   DB   100
      L     DBLG
      TAR1  
      <=D   
      JC    M016
      L     DW#16#0
      T     #TEMP0
      L     #TEMP6
      L     W#16#0
      <>I   
      JC    M00d
      L     P#DBX 0.0
      LAR1  
M00d: L     B [AR1,P#0.0]
      T     #TEMP5
      L     W#16#1
      ==I   
      JC    M007
      L     #TEMP5
      L     W#16#2
      ==I   
      JC    M008
      L     #TEMP5
      L     W#16#3
      ==I   
      JC    M00f
      L     #TEMP5
      L     W#16#4
      ==I   
      JC    M00e
      L     #TEMP5
      L     W#16#5
      ==I   
      JC    M011
      L     #TEMP5
      L     W#16#6
      ==I   
      JC    M012
      JU    M010
M007: +AR1  P#1.0
      L     P#DBX 0.0
      LAR2  
      L     B [AR1,P#0.0]
      L     C#8
      *I    
      +AR2  
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      JL    M003
      JU    M001
      JU    M002
      JU    M004
M003: JU    M005
M001: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #TEMP0
      JU    M006
M002: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #TEMP1
      JU    M006
M004: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #TEMP2
      JU    M006
M00f: +AR1  P#1.0
      L     B [AR1,P#0.0]
      L     C#8
      *I    
      T     #TEMP11
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9
      TAR1  #TEMP4
      OPN   DB   101
      L     P#DBX 0.0
      LAR1  
      L     #TEMP11
      +AR1  
      LAR2  #TEMP9
      L     B [AR2,P#0.0]
      T     B [AR1,P#0.0]
      L     #TEMP4
      LAR1  
      JU    M006
M008: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP3
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      JL    M009
      JU    M00b
      JU    M00a
      JU    M00c
M009: JU    M005
M00b: L     #TEMP3
      T     #TEMP0
      JU    M006
M00a: L     #TEMP3
      T     #TEMP1
      JU    M006
M00c: L     #TEMP3
      T     #TEMP2
      JU    M006
M00e: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10
      TAR1  #TEMP4
      LAR1  #TEMP9
      LAR2  #TEMP10
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      AW    
      INVI  
      T     #TEMP12
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      OW    
      L     #TEMP12
      AW    
      T     B [AR1,P#0.0]
      L     DW#16#0
      T     #TEMP0
      L     MB   101
      T     #TEMP1
      L     MB   102
      T     #TEMP2
      L     #TEMP4
      LAR1  
      JU    M006
M011: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10
      TAR1  #TEMP4
      LAR1  #TEMP9
      LAR2  #TEMP10
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      -I    
      T     B [AR1,P#0.0]
      L     DW#16#0
      T     #TEMP0
      L     MB   101
      T     #TEMP1
      L     MB   102
      T     #TEMP2
      L     #TEMP4
      LAR1  
      JU    M006
M012: L     #TEMP15
      INC   1
      T     #TEMP15
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10
      TAR1  #TEMP4
      LAR1  #TEMP9
      LAR2  #TEMP10
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      ==I   
      JCN   M013
      JU    M014
M013: L     P#DBX 0.0
      LAR1  
      T     #TEMP4
      L     B#16#0
      T     #TEMP6
      JU    M006
M014: L     #TEMP4
      LAR1  
      L     #TEMP13
      L     L#1
      +I    
      T     #TEMP13
      JU    M006
M006: L     #TEMP0
      T     MB   100
      L     #TEMP1
      T     MB   101
      L     #TEMP2
      T     MB   102
      +AR1  P#1.0
      L     #TEMP6
      +     1
      T     #TEMP6
      JU    M005
M010: L     P#DBX 0.0
      LAR1  
      L     0
      T     #TEMP6
      TAR1  #TEMP4
M005: TAR1  #TEMP4
      CLR   
      =     #TEMP16
      L     #TEMP13
      L     L#20
      ==I   
      S     #TEMP16
      L     #TEMP15
      ==I   
      A     #TEMP16
      JC    M017
      L     #TEMP13
      L     L#20
      <I    
      S     #TEMP16
      L     #TEMP15
      ==I   
      A     #TEMP16
      JC    M018
      JU    M019
M017: SET   
      =     #TEMP14
      JU    M016
M018: CLR   
      =     #TEMP14
      JU    M016
M019: CLR   
      O     #TEMP14
      =     #RET_VAL
      JU    M015
M016: CLR   
      O     #TEMP14
      =     #RET_VAL

Nambari hii ni ndefu na inaweza kuonekana kuwa ngumu kwa mtu ambaye hajui STL. Hakuna maana katika kuchambua kila maagizo ndani ya mfumo wa kifungu hiki; maagizo ya kina na uwezo wa lugha ya STL inaweza kupatikana katika mwongozo unaolingana: Orodha ya Taarifa (STL) ya S7-300 na S7-400 Programming. Hapa nitawasilisha msimbo sawa baada ya usindikaji - kubadili jina la lebo na vigezo na kuongeza maoni yanayoelezea algorithm ya operesheni na baadhi ya lugha za STL. Niruhusu nikumbuke mara moja kuwa kizuizi kinachohusika kina mashine pepe inayotekeleza baadhi ya msimbo ulio kwenye kizuizi cha DB100, yaliyomo ambayo tunajua. Maagizo ya mashine pepe yanajumuisha baiti 1 ya msimbo wa uendeshaji na baiti za hoja, baiti moja kwa kila hoja. Maagizo yote yanayozingatiwa yana hoja mbili; Niliteua maadili yao kwenye maoni kama X na Y.

Kanuni baada ya usindikaji] 

# Π˜Π½ΠΈΡ†ΠΈΠ°Π»ΠΈΠ·Π°Ρ†ΠΈΡ Ρ€Π°Π·Π»ΠΈΡ‡Π½Ρ‹Ρ… ΠΏΠ΅Ρ€Π΅ΠΌΠ΅Π½Π½Ρ‹Ρ…
      L     B#16#0
      T     #CHECK_N        # Π‘Ρ‡Π΅Ρ‚Ρ‡ΠΈΠΊ ΡƒΡΠΏΠ΅ΡˆΠ½ΠΎ ΠΏΡ€ΠΎΠΉΠ΄Π΅Π½Π½Ρ‹Ρ… ΠΏΡ€ΠΎΠ²Π΅Ρ€ΠΎΠΊ
      T     #COUNTER_N      # Π‘Ρ‡Π΅Ρ‚Ρ‡ΠΈΠΊ ΠΎΠ±Ρ‰Π΅Π³ΠΎ количСства ΠΏΡ€ΠΎΠ²Π΅Ρ€ΠΎΠΊ
      L     P#DBX 0.0
      T     #POINTER        # Π£ΠΊΠ°Π·Π°Ρ‚Π΅Π»ΡŒ Π½Π° Ρ‚Π΅ΠΊΡƒΡ‰ΡƒΡŽ ΠΈΠ½ΡΡ‚Ρ€ΡƒΠΊΡ†ΠΈΡŽ
      CLR   
      =     #PRE_RET_VAL

# Основной Ρ†ΠΈΠΊΠ» Ρ€Π°Π±ΠΎΡ‚Ρ‹ ΠΈΠ½Ρ‚Π΅Ρ€ΠΏΡ€Π΅Ρ‚Π°Ρ‚ΠΎΡ€Π° Π±Π°ΠΉΡ‚-ΠΊΠΎΠ΄Π°
LOOP: L     #POINTER
      LAR1  
      OPN   DB   100
      L     DBLG
      TAR1  
      <=D                   # ΠŸΡ€ΠΎΠ²Π΅Ρ€ΠΊΠ° Π²Ρ‹Ρ…ΠΎΠ΄Π° указатСля Π·Π° ΠΏΡ€Π΅Π΄Π΅Π»Ρ‹ ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹
      JC    FINISH
      L     DW#16#0
      T     #REG0
      L     #TEMP6
      L     W#16#0
      <>I   
      JC    M00d
      L     P#DBX 0.0
      LAR1  

# ΠšΠΎΠ½ΡΡ‚Ρ€ΡƒΠΊΡ†ΠΈΡ switch - case для ΠΎΠ±Ρ€Π°Π±ΠΎΡ‚ΠΊΠΈ Ρ€Π°Π·Π»ΠΈΡ‡Π½Ρ‹Ρ… ΠΎΠΏΠΊΠΎΠ΄ΠΎΠ²
M00d: L     B [AR1,P#0.0]
      T     #OPCODE
      L     W#16#1
      ==I   
      JC    OPCODE_1
      L     #OPCODE
      L     W#16#2
      ==I   
      JC    OPCODE_2
      L     #OPCODE
      L     W#16#3
      ==I   
      JC    OPCODE_3
      L     #OPCODE
      L     W#16#4
      ==I   
      JC    OPCODE_4
      L     #OPCODE
      L     W#16#5
      ==I   
      JC    OPCODE_5
      L     #OPCODE
      L     W#16#6
      ==I   
      JC    OPCODE_6
      JU    OPCODE_OTHER

# ΠžΠ±Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊ ΠΎΠΏΠΊΠΎΠ΄Π° 01: Π·Π°Π³Ρ€ΡƒΠ·ΠΊΠ° значСния ΠΈΠ· DB101[X] Π² рСгистр Y
# OP01(X, Y): REG[Y] = DB101[X]
OPCODE_1: +AR1  P#1.0
      L     P#DBX 0.0
      LAR2  
      L     B [AR1,P#0.0]   # Π—Π°Π³Ρ€ΡƒΠ·ΠΊΠ° Π°Ρ€Π³ΡƒΠΌΠ΅Π½Ρ‚Π° X (индСкс Π² DB101)
      L     C#8
      *I    
      +AR2  
      +AR1  P#1.0
      L     B [AR1,P#0.0]   # Π—Π°Π³Ρ€ΡƒΠ·ΠΊΠ° Π°Ρ€Π³ΡƒΠΌΠ΅Π½Ρ‚Π° Y (индСкс рСгистра)
      JL    M003            # Аналог switch - case Π½Π° основС значСния Y
      JU    M001            # для Π²Ρ‹Π±ΠΎΡ€Π° Π½Π΅ΠΎΠ±Ρ…ΠΎΠ΄ΠΈΠΌΠΎΠ³ΠΎ рСгистра для записи.
      JU    M002            # ΠŸΠΎΠ΄ΠΎΠ±Π½Ρ‹Π΅ конструкции ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΡŽΡ‚ΡΡ ΠΈ Π² Π΄Ρ€ΡƒΠ³ΠΈΡ…
      JU    M004            # опСрациях Π½ΠΈΠΆΠ΅ для Π°Π½Π°Π»ΠΎΠ³ΠΈΡ‡Π½Ρ‹Ρ… Ρ†Π΅Π»Π΅ΠΉ
M003: JU    LOOPEND
M001: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #REG0           # Π—Π°ΠΏΠΈΡΡŒ значСния DB101[X] Π² REG[0]
      JU    PRE_LOOPEND
M002: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #REG1           # Π—Π°ΠΏΠΈΡΡŒ значСния DB101[X] Π² REG[1]
      JU    PRE_LOOPEND
M004: OPN   DB   101
      L     B [AR2,P#0.0]
      T     #REG2           # Π—Π°ΠΏΠΈΡΡŒ значСния DB101[X] Π² REG[2]
      JU    PRE_LOOPEND

# ΠžΠ±Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊ ΠΎΠΏΠΊΠΎΠ΄Π° 02: Π·Π°Π³Ρ€ΡƒΠ·ΠΊΠ° значСния X Π² рСгистр Y
# OP02(X, Y): REG[Y] = X
OPCODE_2: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP3
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      JL    M009
      JU    M00b
      JU    M00a
      JU    M00c
M009: JU    LOOPEND
M00b: L     #TEMP3
      T     #REG0
      JU    PRE_LOOPEND
M00a: L     #TEMP3
      T     #REG1
      JU    PRE_LOOPEND
M00c: L     #TEMP3
      T     #REG2
      JU    PRE_LOOPEND

# Опкод 03 Π½Π΅ ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΠ΅Ρ‚ΡΡ Π² ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΠ΅, поэтому пропустим Π΅Π³ΠΎ
...

# ΠžΠ±Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊ ΠΎΠΏΠΊΠΎΠ΄Π° 04: сравнСниС рСгистров X ΠΈ Y
# OP04(X, Y): REG[0] = 0; REG[X] = (REG[X] == REG[Y])
OPCODE_4: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7          # ΠΏΠ΅Ρ€Π²Ρ‹ΠΉ Π°Ρ€Π³ΡƒΠΌΠ΅Π½Ρ‚ - X
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9          # REG[X]
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10         # REG[Y]
      TAR1  #POINTER
      LAR1  #TEMP9          # REG[X]
      LAR2  #TEMP10         # REG[Y]
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      AW    
      INVI  
      T     #TEMP12         # ~(REG[Y] & REG[X])
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      OW    
      L     #TEMP12
      AW                    # (~(REG[Y] & REG[X])) & (REG[Y] | REG[X]) - Π°Π½Π°Π»ΠΎΠ³ ΠΏΡ€ΠΎΠ²Π΅Ρ€ΠΊΠΈ Π½Π° равСнство
      T     B [AR1,P#0.0]
      L     DW#16#0
      T     #REG0
      L     MB   101
      T     #REG1
      L     MB   102
      T     #REG2
      L     #POINTER
      LAR1  
      JU    PRE_LOOPEND

# ΠžΠ±Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊ ΠΎΠΏΠΊΠΎΠ΄Π° 05: Π²Ρ‹Ρ‡ΠΈΡ‚Π°Π½ΠΈΠ΅ рСгистра Y ΠΈΠ· X
# OP05(X, Y): REG[0] = 0; REG[X] = REG[X] - REG[Y]
OPCODE_5: +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9          # REG[X]
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10         # REG[Y]
      TAR1  #POINTER
      LAR1  #TEMP9
      LAR2  #TEMP10
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      -I                    # ACCU1 = ACCU2 - ACCU1, REG[X] - REG[Y]
      T     B [AR1,P#0.0]
      L     DW#16#0
      T     #REG0
      L     MB   101
      T     #REG1
      L     MB   102
      T     #REG2
      L     #POINTER
      LAR1  
      JU    PRE_LOOPEND

# ΠžΠ±Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊ ΠΎΠΏΠΊΠΎΠ΄Π° 06: ΠΈΠ½ΠΊΡ€Π΅ΠΌΠ΅Π½Ρ‚ #CHECK_N ΠΏΡ€ΠΈ равСнствС рСгистров X ΠΈ Y
# OP06(X, Y): #CHECK_N += (1 if REG[X] == REG[Y] else 0)
OPCODE_6: L     #COUNTER_N
      INC   1
      T     #COUNTER_N
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP7          #  REG[X]     
      L     P#M 100.0
      LAR2  
      L     #TEMP7
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP9          #  REG[X]  
      +AR1  P#1.0
      L     B [AR1,P#0.0]
      T     #TEMP8
      L     P#M 100.0
      LAR2  
      L     #TEMP8
      L     C#8
      *I    
      +AR2  
      TAR2  #TEMP10         # REG[Y]
      TAR1  #POINTER
      LAR1  #TEMP9          # REG[Y]
      LAR2  #TEMP10         # REG[X]
      L     B [AR1,P#0.0]
      L     B [AR2,P#0.0]
      ==I   
      JCN   M013
      JU    M014
M013: L     P#DBX 0.0
      LAR1  
      T     #POINTER
      L     B#16#0
      T     #TEMP6
      JU    PRE_LOOPEND
M014: L     #POINTER
      LAR1  
# Π˜Π½ΠΊΡ€Π΅ΠΌΠ΅Π½Ρ‚ значСния #CHECK_N
      L     #CHECK_N
      L     L#1
      +I    
      T     #CHECK_N
      JU    PRE_LOOPEND

PRE_LOOPEND: L     #REG0
      T     MB   100
      L     #REG1
      T     MB   101
      L     #REG2
      T     MB   102
      +AR1  P#1.0
      L     #TEMP6
      +     1
      T     #TEMP6
      JU    LOOPEND

OPCODE_OTHER: L     P#DBX 0.0
      LAR1  
      L     0
      T     #TEMP6
      TAR1  #POINTER

LOOPEND: TAR1  #POINTER
      CLR   
      =     #TEMP16
      L     #CHECK_N
      L     L#20
      ==I   
      S     #TEMP16
      L     #COUNTER_N
      ==I   
      A     #TEMP16
# ВсС ΠΏΡ€ΠΎΠ²Π΅Ρ€ΠΊΠΈ ΠΏΡ€ΠΎΠΉΠ΄Π΅Π½Ρ‹, Ссли #CHECK_N == #COUNTER_N == 20
      JC    GOOD
      L     #CHECK_N
      L     L#20
      <I    
      S     #TEMP16
      L     #COUNTER_N
      ==I   
      A     #TEMP16
      JC    FAIL
      JU    M019
GOOD: SET   
      =     #PRE_RET_VAL
      JU    FINISH
FAIL: CLR   
      =     #PRE_RET_VAL
      JU    FINISH
M019: CLR   
      O     #PRE_RET_VAL
      =     #RET_VAL
      JU    LOOP
FINISH: CLR   
      O     #PRE_RET_VAL
      =     #RET_VAL

Baada ya kupata wazo la maagizo ya mashine ya kawaida, wacha tuandike disassembler ndogo ili kuchambua bytecode kwenye kizuizi cha DB100:

import string
alph = string.ascii_letters + string.digits

with open('DB100.bin', 'rb') as f:
    m = f.read()

pc = 0

while pc < len(m):
    op = m[pc]
    if op == 1:
        print('R{} = DB101[{}]'.format(m[pc + 2], m[pc + 1]))
        pc += 3
    elif op == 2:
        c = chr(m[pc + 1])
        c = c if c in alph else '?'
        print('R{} = {:02x} ({})'.format(m[pc + 2], m[pc + 1], c))
        pc += 3
    elif op == 4:
        print('R0 = 0; R{} = (R{} == R{})'.format(
            m[pc + 1], m[pc + 1], m[pc + 2]))
        pc += 3
    elif op == 5:
        print('R0 = 0; R{} = R{} - R{}'.format(
            m[pc + 1], m[pc + 1], m[pc + 2]))
        pc += 3
    elif op == 6:
        print('CHECK (R{} == R{})n'.format(
            m[pc + 1], m[pc + 2]))
        pc += 3
    else:
        print('unk opcode {}'.format(op))
        break

Kama matokeo, tunapata nambari ifuatayo ya mashine:

Msimbo wa mashine ya kweli

R1 = DB101[0]
R2 = 6e (n)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[1]
R2 = 10 (?)
R0 = 0; R1 = R1 - R2
R2 = 20 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[2]
R2 = 77 (w)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[3]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[4]
R2 = 75 (u)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[5]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[6]
R2 = 34 (4)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[7]
R2 = 26 (?)
R0 = 0; R1 = R1 - R2
R2 = 4c (L)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[8]
R2 = 33 (3)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[9]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[10]
R2 = 37 (7)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[11]
R2 = 22 (?)
R0 = 0; R1 = R1 - R2
R2 = 46 (F)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[12]
R2 = 33 (3)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[13]
R2 = 0a (?)
R0 = 0; R1 = R1 - R2
R2 = 16 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[14]
R2 = 6d (m)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[15]
R2 = 11 (?)
R0 = 0; R1 = R1 - R2
R2 = 23 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[16]
R2 = 35 (5)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[17]
R2 = 12 (?)
R0 = 0; R1 = R1 - R2
R2 = 25 (?)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

R1 = DB101[18]
R2 = 33 (3)
R0 = 0; R1 = (R1 == R2)
CHECK (R1 == R0)

R1 = DB101[19]
R2 = 26 (?)
R0 = 0; R1 = R1 - R2
R2 = 4c (L)
R0 = 0; R1 = R1 - R2
CHECK (R1 == R0)

Kama unavyoona, programu hii hukagua tu kila herufi kutoka DB101 kwa usawa na thamani fulani. Mstari wa mwisho wa kupitisha hundi zote ni: n0w u 4r3 7h3 m4573r. Ikiwa mstari huu utawekwa kwenye block DB101, basi udhibiti wa PLC wa mwongozo umewashwa na itawezekana kulipuka au kufuta puto.


Ni hayo tu! Alexey alionyesha kiwango cha juu cha ujuzi kinachostahili ninja ya viwanda :) Tulituma zawadi zisizokumbukwa kwa mshindi. Shukrani nyingi kwa washiriki wote!

Chanzo: mapenzi.com

Kuongeza maoni