渗透SCADA工控系统过程解析

背景资料:Stuxnet蠕虫病毒(超级工厂病毒)是世界上首个专门针对工业控制系统编写的破坏性病毒,能够利用对windows系统和西门子SIMATIC WinCC系统的7个漏洞进行攻击。特别是针对西门子公司的SIMATIC WinCC监控与数据采集 (SCADA) 系统进行攻击,由于该系统在我国的多个重要行业应用广泛,被用来进行钢铁、电力、能源、化工等重要行业的人机交互与监控。 传播途径:该病毒主要通过U盘和局域网进行传播。历史“贡献”:曾造成伊朗核电站推迟发电。 2010-09-25,进入中国。

一直以来,2010年发生的Stuxnet案件被安全专家认为是一场有目的性的网络战争,攻击者使用一个精心设计的恶意软件打击在伊朗核工厂内SCADA系统。
尽管在多数情况下,SCADA工控系统扮演着相当重要的角色,但是在黑客眼中他们并不安全。
渗透过程
下面这个SCADA系统是我在互联网上找到的:iLON100 echelon SCADA system.

要进行目标识别,各研究必须被限制在一个特定的IP范围内,在此范围内进行扫描;要辨识出该范围,黑客需要一个ISP实例;

通过分析服务器响应,我们发现有些响应包头中包含WindRiver-WebServer,并且在WWW-Authentication使用Basic realm-”i.LON”,我们从而选择这些目标。

选中的目标运行echelon Smart server 2.0,这个版本服务器包含一系列0day漏洞并且在一段时间以前刚刚公布了一个,具体信息可以看http://www.lon-catalog.ru/ .
在一些研究之后,黑客发现了WindRiver防火墙源代码WindRiver firewalls,地址为WindRiver-Firewall-Source.

接下来攻击者就需要对最终目标执行exploit

在公开的报告中我们可以看到,SCADA中许多设备admin控制台被攻击者控制

在这里我们只看到一个设备被攻击者掌控,我们可以想象如果被控制的是一个核控制设备……后果将不堪设想!
总结
这里的例子步骤非常简单,只是为了表明关键基础设施安全的重要性。安全专家认为,SCADA系统暴露在因特网上是错误的。
许多黑客使用 “Shodan Computer Search Engine”搜索暴露在因特网上的SCADA系统,这个流行的网站提供了目标的许多敏感信息。


Shodan是一个与google类似的搜索引擎,可以搜索服务器、路由器、负载均衡设备和其他网络设备。
安全专家认为政府需要承担起保护工控系统的重任,防止可能遭到的外界攻击。
以下是几条安全建议:

本文来自freebuf作者thanks由网络安全攻防研究室(www.91ri.org)信息安全小组收集整理,转载请注明出处。