2. Modbus协议安全威胁分析
说实话，Modbus协议在设计之初，压根没考虑过网络安全这回事。那时候工业网络还是封闭的，谁想到有一天会连上互联网？所以，这个协议天生就有几个致命伤。我这些年做工控安全评估，几乎每个项目都能碰到因为Modbus裸奔导致的安全事件。今天咱们就来掰扯掰扯，它到底脆弱在哪。
核心问题一句话总结：Modbus TCP/UDP在设计时假设网络是可信的、封闭的，因此没有任何安全机制。这在现代OT环境中，简直就是开着门让人进。
2.1 协议明文传输：数据在裸奔
Modbus协议的数据帧，从功能码到寄存器地址，再到读写的数据值，全部是明文传输。什么意思？就是说，只要有人能抓到网络包，你的PLC里藏着什么参数、传感器采集了什么数值，他一目了然。
我记得有一次帮一个水处理厂做安全审计。我用Wireshark在交换机上做了个端口镜像，抓了不到5分钟的流量，就把整个加药系统的PID参数、液位阈值全看光了。你想想看，这些数据如果被竞争对手或者恶意攻击者拿到，后果有多严重。
我的建议：如果条件允许，至少要在关键链路上部署加密隧道。别指望攻击者看不懂Modbus协议——网上随便搜一下，协议规范文档到处都是。
明文传输带来的具体风险包括：
- 数据泄露：工艺参数、生产配方、设备状态等敏感信息被窃听
- 流量分析：攻击者可以通过分析通信模式，推断出生产节奏、设备启停规律
- 协议逆向：结合明文数据，攻击者可以轻松理解整个控制逻辑
2.2 无认证机制：谁都能发指令
这是Modbus最要命的问题。它没有源地址验证，没有会话认证，没有用户身份校验。说白了，任何一个能接入网络的设备，都可以向PLC发送Modbus指令。PLC根本不管你是谁，只要指令格式对，它就执行。
我曾经在项目里做过一个测试：用一台笔记本电脑，装个Modscan工具，连上客户的产线网络。我只发了一条写线圈的指令，就把传送带停了。客户当时脸都绿了。嗯，这就是无认证的后果。
警告：不要以为内网就安全。内部员工误操作、第三方运维人员接入、甚至是一台被感染的办公电脑，都可能成为攻击跳板。没有认证，就等于把控制权交给了所有人。
无认证机制带来的典型攻击场景：
- 攻击者扫描到开放的Modbus TCP端口（502）
- 发送任意功能码指令，无需任何凭证
- PLC无条件执行，导致设备误动作或停机
2.3 重放攻击：同样的指令，同样的效果
Modbus协议没有时间戳，没有序列号，没有防重放机制。攻击者只要抓到一个有效的指令包，原封不动地再发一次，PLC就会再执行一次。这在很多场景下是致命的。
举个例子：假设你抓到了一个"打开阀门"的指令包。攻击者可以反复重放这个包，让阀门不停地开、关、开、关……直到机械结构损坏。我在一个化工项目中就遇到过类似情况，好在发现及时，没有造成泄漏事故。
关键点：重放攻击不需要破解任何密码，不需要理解协议细节，只需要会抓包和发包。这是最容易被忽视的威胁之一。
重放攻击的典型特征：
- 攻击者不需要知道指令含义，只需要复制数据包
- 可以无限次重复执行同一个操作
- 结合时序分析，可以造成精确的破坏效果
2.4 中间人攻击：你看到的都是假的
中间人攻击（MITM）在Modbus网络中简直不要太容易。因为协议没有加密，没有完整性校验，攻击者可以在通信链路上插入一个伪造的设备，篡改或者伪造数据。
我参与过一个电力监控系统的评估。我们在SCADA和RTU之间部署了一个代理设备，成功实现了：
- 篡改遥测数据（让调度员看到错误的电压值）
- 伪造遥控指令（让断路器误动作）
- 双向数据劫持（SCADA和RTU都被蒙在鼓里）
为什么会这么容易？因为Modbus协议没有对数据包做任何完整性校验。CRC校验只能检测传输错误，防不了人为篡改。你想想看，攻击者只要改几个字节，就能让整个控制系统失灵。
避坑指南：我曾经见过一个客户，在SCADA和PLC之间加了一台防火墙，就觉得安全了。但防火墙只做IP和端口过滤，对Modbus应用层的数据内容完全不检查。中间人攻击照样可以穿透。记住，网络层安全不等于应用层安全。
2.5 功能码滥用：指令的潘多拉魔盒
Modbus定义了多种功能码，从读取线圈（01H）到写多个寄存器（10H），再到诊断功能（08H）。问题在于，很多PLC默认开放了所有功能码，包括那些危险的操作。
我习惯把功能码分为三类：
| 类别 | 功能码示例 | 风险等级 | 说明 |
|---|---|---|---|
| 只读操作 | 01H, 02H, 03H, 04H | 低 | 读取数据，不改变设备状态 |
| 写操作 | 05H, 06H, 0FH, 10H | 高 | 修改设备状态或参数 |
| 诊断/管理 | 08H, 11H, 17H | 极高 | 重置设备、清除日志、修改通信参数 |
攻击者可以利用功能码滥用做很多事情：
- 写线圈/寄存器：直接控制设备启停、修改设定值
- 诊断功能码：发起环路测试、重置通信接口
- 封装接口：通过封装功能码执行任意操作
警告：很多PLC出厂配置默认开放所有功能码。我曾经遇到过一台用了5年的PLC，诊断功能码08H一直开着。攻击者只需要发一条重置指令，就能让这台PLC离线。检查一下你的设备，把不需要的功能码全部禁用掉。
2.6 威胁全景图
为了让你更直观地理解这些威胁之间的关系，我画了一张图。这张图展示了攻击者如何利用Modbus协议的五个弱点，一步步渗透到工业控制系统核心。
从这张图可以看得很清楚：攻击者只需要利用其中一个弱点，就能造成严重后果。更可怕的是，这五个弱点往往是组合使用的。比如，先通过明文传输窃听数据，再结合无认证机制发送伪造指令，最后通过功能码滥用实现破坏。
我的经验总结：做了这么多年工控安全，我最大的感受是——Modbus协议的安全问题不是技术难题，而是意识问题。很多人觉得"内网很安全""没人会攻击我们"，这种想法才是最危险的。下一章，我会详细讲讲怎么给这个"裸奔"的协议穿上防护服。
公众号:蓝海资料掘金营，微信deep3321