Patch Now and Attack Later - Exploiting S7 PLCs by Time-Of-Day Block（先打补丁后攻击——基于S7 PLC的TOD漏洞）

一、摘要

  工业控制系统(ICSs)体系结构由可编程逻辑控制器(PLC)组成，其中一端与工程站通信，另一端控制某个物理过程。在本文中，我们证明了一些PLC是脆弱的，并证明了利用正在PLC中执行的逻辑程序是可行的。我们通过注入一个Time-of-Day (TOD)中断代码来锁定逻辑程序，该中断代码在攻击者希望的某个时间中断逻辑控制的执行顺序。这种攻击是首次允许外部对手在访问暴露的PLC后修补恶意代码，让他们的攻击在被感染的设备内闲置，然后稍后激活攻击，甚至不需要在攻击时间与目标PLC连接。与之前的所有工作相比，这种新方法为攻击者打开了破坏PLC的一扇新大门，攻击者可以在攻击阶段处于离线状态。对于一个真实的场景，我们在一个使用S7-300 PLC的真实的小型工业系统设置上实现了我们的攻击，开发了一个已经发布的叫做PLCinject的工具来运行我们的实验。最后，我们提出了一些潜在的缓解方法，以保护系统免受此类威胁。

二、介绍

（一）攻击方式及工具

  传统的控制逻辑攻击是通过修改或替换原程序代码，将恶意代码或块下载到目标设备上运行在目标PLC上。而且，以前的所有注入攻击都是在线进行的，并且严格要求对手连接到目标PLC，直到攻击运行。我们的新方法的特点是不需要在攻击时访问目标系统的，攻击者可以在不连接网络的情况下在特定时间离线激活他们的攻击。为了进行我们的实验，我们开发了一个已经发布的攻击工具，叫做PLCinject。我们将开发S7 PLC的利用分为两个阶段:
1） 在Simatic软件中，用中断块，即组织块10(本文其余部分称之为OB10)来修补PLC的控制逻辑程序。这是在线完成的。
2） 激活在特定的日期和时间注入的补丁，而不需要在那个时间连接到目标PLC。这是离线完成的。

（二）PLC

（1）PLC执行环境

  西门子PLC运行一个实时操作系统(OS)，该操作系统通过如图1所示的四个步骤循环执行用户程序。

图1

（2）PLC操作系统

  西门子为开发PLC程序的工程师提供他们的全面集成自动化(博途TIA)门户软件。它由两个主要部分组成：

1. Step 7作为PLC和WinCC的开发环境来配置人机界面(HMIs)。
2. 工程师能够使用以下编程概念之一对PLC进行编程:梯形图(LAD)、功能块图(FBD)、结构化控制语言(SCL)和语句列表(STL)。

（3）用户程序

  PLC程序分为以下单元:组织块(OBs)、函数(FCs)、功能块(FBs)、数据块(DBs)、系统函数块(SFCs)、系统功能块(SFBs)和系统数据块(SDBs)。OBs、FCs和FBs包含实际代码，而DBs为数据结构提供存储，SDBs为当前的PLC配置提供存储。一个简单的PLC程序至少由一个称为OB1的组织块组成，与传统C程序中的main()函数类似。

（4）PLC周期