第1章：Modbus协议安全现状

1.1 工控安全事件回顾——那些年我亲眼见过的“事故”

说起工控安全事件，大家可能第一个想到的是震网病毒。但我个人印象最深的，是2017年那次针对某水处理厂的攻击。黑客通过一个暴露在公网的Modbus TCP端口，直接远程修改了PLC里的液位阈值。结果呢？水泵空转烧毁，整个车间淹了半米深的水。

为什么会这样？说白了，就是Modbus协议本身太“单纯”了。它设计于上世纪70年代末，那时候互联网还没诞生，压根没人考虑过“有人会恶意发报文”这种事。我后来去现场排查时发现，攻击者用的工具就是普通的Modscan，连个像样的加密都没有。

再往前看，2015年乌克兰电网事件也用了类似手法。黑客先通过钓鱼邮件进入办公网，然后横向移动到工控网，最后用Modbus协议直接操作了断路器。你想想看，一个连认证都没有的协议，在关键基础设施里跑了40多年，不出事才怪。

1.2 Modbus协议设计缺陷——我踩过的那些坑

Modbus协议有三个“原罪”，我在项目里都吃过亏：

• 无认证机制：任何设备只要知道IP和端口，就能直接读写寄存器。我遇到过最离谱的一次，某工厂的工程师把上位机密码设成“admin”，结果被实习生用手机APP连上Modbus TCP，把整条产线的配方参数全改了。
• 无加密传输：所有数据都是明文。我在做渗透测试时，用Wireshark抓了5分钟包，就把整个控制逻辑还原出来了。包括PID参数、报警阈值、甚至操作员账号——虽然Modbus本身没账号概念，但上位机软件会明文传输登录信息。
• 功能码滥用：比如功能码0x10（写多个寄存器），理论上应该只允许工程师站使用。但实际部署中，很多PLC的HMI也开放了这个功能码。我见过一个案例，操作员误点了某个按钮，结果把整个配方表写成了乱码。

1.3 常见攻击面分析——黑客最喜欢从哪里下手

根据我的实战经验，Modbus的攻击面主要集中在以下几个地方：

攻击面	攻击方式	真实案例
Modbus TCP端口	扫描502端口，直接发送恶意报文	某炼油厂DCS系统被境外IP扫描，发现502端口开放后，尝试写入异常设定值
串口总线	物理接入RS485总线，监听或注入报文	某水电站的闸门控制系统，被人从机柜外露的DB9接口接入，修改了开度值
上位机软件	通过钓鱼邮件或U盘感染上位机，然后利用其合法身份发送恶意Modbus指令	2019年某核电站的办公网病毒，通过工程师站感染了工控网，最终触发了紧急停机
从站设备	利用从站设备的固件漏洞，篡改其响应报文	某品牌的智能电表被发现存在缓冲区溢出漏洞，攻击者可构造特殊报文导致从站死机

这里我要特别强调一下“中间人攻击”。Modbus协议没有完整性校验，攻击者完全可以截获报文后篡改内容。我在实验室做过测试：用树莓派搭建一个ARP欺骗环境，然后修改PLC发给HMI的寄存器值。结果HMI上显示一切正常，但实际设备已经超限运行了。嗯，这个实验后来被写进了我们公司的安全培训教材。

1.4 为什么到现在还在用Modbus？

你可能会问：这协议漏洞这么多，为什么不用OPC UA或者Profinet？说实话，我也问过自己很多次。原因其实很简单：

• 存量太大：全球有超过3亿台Modbus设备在运行，全部替换的成本是天文数字。我参与过的一个项目，光更换一个车间的PLC就要200万预算，老板直接摇头。
• 简单可靠：Modbus的报文结构就4个字节（地址+功能码+数据+校验），嵌入式设备跑起来毫无压力。相比之下，OPC UA的协议栈要占用几百KB内存，很多老设备根本跑不动。
• 工程师习惯：很多老工程师从90年代就开始用Modbus，闭着眼睛都能写出通讯程序。你让他们学新协议？他们宁愿多焊几根线。

1.5 小结——安全是设计出来的，不是补出来的

回顾这些事件和缺陷，你会发现一个规律：几乎所有成功的攻击，都利用了Modbus协议“信任一切”的设计哲学。我常说一句话：“Modbus协议本身没有错，错的是我们把它用在了不该用的地方。”

在接下来的章节里，我会详细讲解如何给这个“老古董”穿上防弹衣。包括如何配置防火墙规则、如何实现报文深度检测、以及如何构建一个安全的Modbus通讯环境。嗯，这些都是我这些年踩坑踩出来的经验，希望能帮你少走弯路。

记住：安全不是买几个盒子就能解决的。它需要你理解协议、理解业务、理解攻击者的思维。准备好了吗？我们开始吧。