工业控制（ICS）---IEC60870

IEC60870

参考：https://blog.csdn.net/song123sh/article/details/128388201

子协议
IEC101（任务相关）
IEC102（电量相关）
IEC103（保护相关）
IEC104（101的网络版）
IECASDU（基于101/104的应用服务数据单元传输）
主要技巧
筛选iec60870_asdu
关注IOA的值
可尝试用type进行分类

例题1 HNGK-奇怪的工控协议

看了下协议分布，最主要的modbus，不过iec60870_104和iec60870_asdu也不算少。

在modbus里面翻了半天也没看到啥有用的东西，然后去iec60870_104翻了下直接发现了flag。筛选条件iec60870_104，iec60870_asdu，分别查看IOA的值并看数据书否有异常或奇怪的地方

_ws.col.protocol == “IEC 60870-5 ASDU”
flag为：
flag{sort104}

例题2 HNGK-协议分析

发现此题目存在多个连接，按分组筛选iec60870_asdu && tcp.stream == 0

发现有些数据包是报错的，正确的包应该含有IOA的值iec60870_asdu && tcp.stream == 0 && iec60870_asdu.normval

还有五百多条数据，剩下的可以以TypeID为条件筛选，一个一个筛过去

(((iec60870_asdu && tcp.stream == 0)) && (iec60870_asdu.normval)) && (iec60870_asdu.typeid == 34)发现IOA的值对应的基本都是乱码，或者发现还有三百多条数据判断他是正常的

最后在typeid=9处发现两个等号收尾的以两字节为一组的数据

((((iec60870_asdu && tcp.stream == 0)) && (iec60870_asdu.normval)) && (iec60870_asdu.typeid != 34)) && (iec60870_asdu.typeid != 9)

将其提取出来解base64错误，发现开头mZhx，而flag的base64对应值为Zmxh，猜测是前后颠倒两两一组
mZhx3ZKtTOTJ0VadnNYdVSnlUUBNQf==
ZmxhZ3tKOTJTV0daNndYSVlnUUNBfQ== flag{J92SWGZ6wXIYgQCA}

得到flag

flag{J92SWGZ6wXIYgQCA}