工控CTF之协议分析7——OMRON

协议分析

流量分析

主要以工控流量和恶意流量为主，难度较低的题目主要考察Wireshark使用和找规律，难度较高的题目主要考察协议定义和特征
简单只能简单得干篇一律，难可以难得五花八门

常见的工控协议有：Modbus、MMS、IEC60870、MQTT、CoAP、COTP、IEC104、IEC61850、S7comm、OMRON等

由于工控技术起步较早但是统一的协议规范制定较晚，所以许多工业设备都有自己的协议，网上资料数量视其设备普及程度而定，还有部分协议为国家制定，但仅在自己国内使用，网上资料数量视其影响力而定

CTF之协议分析文章合集

工控CTF之协议分析1——Modbus
工控CTF之协议分析2——MMS
工控CTF之协议分析3——IEC60870
工控CTF之协议分析4——MQTT
工控CTF之协议分析5——COTP
工控CTF之协议分析6——s7comm
工控CTF之协议分析7——OMRON
工控CTF之协议分析8——特殊隧道
工控CTF之协议分析9——其他协议
文中题目链接如下
站内下载
网盘下载：https://pan.baidu.com/s/1vWowLRkd0IdvL8GoMxG-tA?pwd=jkkg
提取码：jkkg

OMRON FINS

欧姆龙厂商

命令代码(Command CODE)特别多，主要关注读写相关，如：

• Memory Area Read (0x0101)
• Memory Area Write (0x0102)
• Multiple Memory Area Read (0x0104)
• Memory Area Transfer (0x0105)
• Parameter Area Read (0x0201)
• Parameter Area Write (0x0202)
• Data Link Table Read (0x0220)
• Data Link Table Write (0x0221)
• Program Area Read (0x0306)
• Program Area Write (0x0307)
• …

例题1 2020ICSC哈尔滨站—Omron Fins

题目要求：找到写入的异常数据

协议名写在题目上，直接筛选，寥寥几条数据，只有一个是写入

得到的数据发现不是flag，但是又没有其他数据写入

之前其实也有这样的题目，数据是两两字节存入，可能是要做前后翻转，只能去找omron协议数据存储方式或者尝试

例题2 2021ICSC线上—异常的Fins协议分析

题目要求：找到异常的数据流，flag为其数据流序号

偏脑洞，不太像工控题目

打开看看omron协议很多，很杂，无从下手，在科来网络分析系统中诊断出一个问题，tcp校验和异常

这个其实就是flag，题目名叫Fins协议，但是实际题目和工控基本没有什么关系，最多也就是omron是tcp下级

做题实在没思路就把wiresharktcp校验检查打开看看

例题3 2021ICSC线上—Fins协议通讯

偏脑洞

在压缩包底部注释发现key:jnds

omron协议一般没有很好地过滤方法，大致看了看，都是read，一般来说read的结果都在返回数据中，先筛选看一看

大致看了一遍 发现一个错误数据，发现还是tcp校验和，也可以根据数据包的长度筛选，要么flag是明文很短，要么加密后数据很长

U2fsd一般都是对称加密的结果

基本这种不怎么好分析的协议大多偏脑洞、碰运气，想到了就想到了