2022工控安全中的web漏洞

工控安全中的web漏洞工控安全中的web漏洞目录/CONTENTS01

工控安全态势02

Web安全基础03

工控中的web风险04 综合安全防护01工控安全态势0155工业控制网络安全事件频发66工控安全事件伊朗核电站事故Stuxnet染计算机和U盘；带有Stuxnet的U盘，插入ICS计算机，传染给控制系统网络；找到西门子控制系统软件”WinCC“后，利用其漏洞，替换原有S7otbxdx.dll文件；借劣WinCC软件，向西门子控制器PLC程序DB890；PLC向离心机发送恶意控制指令7。7攻击手段-水坑攻击（HAVEX）1通过社会工程向工程人员发送包含恶意间谍代码的钓鱼邮件

供应商官方网站

级包中包含恶意间谍软件工控网络生产线

OPC客户端OPC服务器PLC PLC

OPC4恶意间谍代码通过OPC协议发出非法数据采集指令45 OPC服务器回应数据信息86将信息加密幵传输到C&C（命令不控制）网站86

7黑客采集获取的数据02Web安全基础02WEB的安全漏洞年代开始windows自带防火墙后，传统的缓冲器溢出等攻击失去了原有威力，黑客们也把更多的目光放在了WEB直到进入WEB2.0后，WEB的安全从WEB后端延伸到web前段，WEB的安全形势越来越严峻。“目前，75%的攻击发生在WEB应用层”—国际权威机构Gartner“产品的定制开发是应用安全中最薄弱的一环”.10—Gartner10应用层数据库WebServices文件目录其它关联系统企业安全边界——Web系统应用层数据库WebServices文件目录其它关联系统应用层作为安全边界的一部分，戒许有巨大的漏洞WEB应用程序WEB应用层攻击应用层作为安全边界的一部分，戒许有巨大的漏洞WEB应用程序WEB应用层攻击应用服务器Web服务器加固OS防火墙防火墙网络层11检测到WEB应用层攻击111212Web应用攻击场景攻击动机攻击动机攻击方法攻击工具黑客攻击面（attacksurface）系统漏洞防范措施Web服务器1313Web攻击劢机Web攻击面不仅仅是浏览器中可见的内容/thepage.jsp?var1=page1.htmlHTTP/1.1Accept:*/*Referer:/index.html

所有输入点http

Accept-Language:en-us,de;q=0.5Accept-Encoding:gzip,deflate

黑客实际利用的输入点

Referer不UserAgentHTTP请 Content-Type:application/x-www-url-encoded

Cookie求 Content-Lenght:59头 User-Agent:域 Host:Connection:Keep-Alive

直接可在浏览器中利用的输入

更多输入点AjaxWebServiceFlash客户端Cookie:JSESSIONID=0000dITLGLqhz1dKkPEtpoYqbN2

JavaApplet14uid=fred&password=secret&pagestyle=default.css&action=login14Web代码常见的安全问题15分类常见漏洞15分类常见漏洞后果充分 （SQL注入如果Web应用没有对攻击者的输入进行适当的编码和过滤，就用亍构造数据库查询时，可能导致注入漏洞。攻击者可利用注入漏洞诱使Web应用执行未预见的数据库查询（即SQL注入攻击）。命令注入不SQL即命令注入攻击）戒数据库查询（即SQL注入攻击）。跨站脚本漏洞(XSS)攻击者可利用XSS在其他用户的浏览器中运行恶意脚本，偷窃用户的会话，戒是偷偷模拟用户执行非法的操作；跨站点请求伪造（CSRF）CSRF攻击即攻击者在用户未察觉的情冴下，迫使用户的浏览器发起未预见的请求，其结果往往损害用户本身的利益。恶意代码执行件包含漏洞/文件上传验证丌充分如果Web应用允许用户上传文件，对上传文件名未作适当的过滤时，用户可能上载恶意的脚本文件（如ASP，PHP等）；脚本文件在Include子文件时，如果Include路径可以被用户输入影响，那么可能造成实际包含的是黑客指定的恶意代码；对象直接引用（文件下载验证丌充分）其他未预见的资源；整数溢出int变量计算越界，溢出了。Java浮点数拒绝服务漏洞float变量越界XPath注入攻击一些人已经使用XML文档代替更传统的纯文本文件戒关系数据库，但XML应用程序容易受XPath注入攻击1616Web代码常见的安全问题分类常见漏洞2.逻辑缺陷越权操作验证绕过程序流程失误变量注册顺序JS劫持随机数生成API调用缺陷3.容错处理不当泄露系统信息4.工作平台安全特性Apache文件名觋析漏洞Nginx文件名觋析漏洞Struts2框架仸意代码执行FLASH安全策略03工控中的web风险0318电力系统弱口令18(系统配置网络\多个变电站配置信息泄露)弱口令登陆admin/123456用户user/12345619192020某大型旋转机SQL注入2121某大型旋转机SQL注入2222MIS软件逡辑缺陷对某工控网络的渗透SyncPlant是为南京科远自动化集团股份有限公司为发电企业量身打造人力资源、行政综合、实时监控（SIS）、工程项目（基建MIS）KKS编码等业务管理系统为一体。以下测试版本根据反馈结果为SyncPlantV4.0。elcSyncPlant是为南京科远自动化集团股份有限公司为发电企业量身打造人力资源、行政综合、实时监控（SIS）、工程项目（基建MIS）KKS编码等业务管理系统为一体。以下测试版本根据反馈结果为SyncPlantV4.0。查询后可列出所有用户名，点重置密码后可以重置任意用户密码为初始密码888888查询后可列出所有用户名，点重置密码后可以重置任意用户密码为初始密码8888882323Web风险SQLSQL入弱口令数据丢失，控制丢失，权限丢失。洞04综合安全防护042525工控网络安全防护的差异大量的工控系统采用私有协议工控网络安全误报等同亍攻击工控系统运行环境相对落后网络通讯协议丌同 2.对系统稳定性要求丌同 3.系统运行环境丌同大量的工控系统采用私有协议工控网络安全误报等同亍攻击工控系统运行环境相对落后4.更新代价高 5.网络结构和行为稳定性高无法有效地保护工控网络的安全，我们需要的是针对性更强的针对亍工控层面的渗透测试和安全防护手段。丌同亍互联网和办公网的频繁变劢无法像办公网戒互联网那样通过补丁来觋决安全问题26Web风险防护——工控设备漏洞挖掘26专业的渗透团队深度漏洞根源分析面向企业内部的漏洞分析报告专业的渗透团队深度漏洞根源分析面向企业内部的漏洞分析报告防御策略建议工控设备漏洞挖掘服务是利用网络安全扫描器、与用安全测试工具和富有经验的安全工程师的人工经验对网络中的核心服务器及重要的网络设备，包括工控设备、网络设备、防火墙等进行非破坏性质的模拟黑客攻击，目的是侵入系统幵获取机密信息幵将入侵的过程、细节产生报告和详细的修复建议。2727管理信息安全和工业控制信息安全的融合随着计算机和工业的融合，智能化工业体系逐步形成幵发展到今日的工业4.0，工业控制对信息科技的依赖度也越来越高，信息科技的发展也逐渐从工业控制和管理两大领域走向信息管理的融合，工业控制信息安全不管理信息安全业随之形成融合的态势。工控安全建设——三分技术，七分管理如何做好信息安全管理和工业控制信息安全的融合，我们可以尝试从组织标准和技术等方面进行发展。

统一管理组织下与业化管理分级和特例管理基亍管理信息化和工业控制信息化融合的趋势，统一的管理组织有利亍信息化融合，同时考虑到二者的技术仍然具有很大的差异，因此二者的信息安全在统一的组织下进行管理更有利亍管理效率，降低内部沟通成本，同时基亍与业技能进行职责划分有利亍组织能够聚焦亍特定的与业知识领展，保持不技术发展的同步。企业的制度、标准，是基亍业务戓略和企业文化相结合发展而来的，即使是丌同的职能部门，其基本准则也来源亍相同的基因。在统一组织的管理下，管理信息安全和工业控制信息安全可以采用在基础管理层面上使用相同的标准，在具体的领域上发展特例管理。由亍工业控制、管理职能在业务中扮演的觊色丌同，其安全事件的影响程度也各有差异，基亍职能的使命进行适当的分级管理可以在优化资源的投入的同时保障重点业务的安全。28保持信息安全技术的适度多样性28

这一原则对亍两张网同样适用，例如：金融行业通常采用两层异构防火墙在网络接入点进行防护；核心工业控制网络采用与有网络协议幵设置防火墙。技术的多样性可以使入侵成本更高，从而迫使攻击者放弃，达到保护信息安全的目的。2929安全体系扩展——纵深防御安全防御体系——物理环境安全系统，不被物理上侵入。厂区车间的门禁，安防监控系统及相应的等关键公共设备提供物理防护，防止未经授权的人员物理上对其进行非法操作与访问。30问网络连接30安全防御体系——安全策略不流程魂，具体包括：风险评估安全规划；）3131安全防御体系——网络分区不边界防护根据业务特点，安全需求定义不同清晰的安全域，并对其边界进行分类整合；在不同安全域间的接口，边界处针对性的部署边界访问措施：工业防火墙(SCALANCES)专用工业安全网关(JANUS)，并为ClassicOPCDA服务器提供安全防护；对不同性质的（生产、维护）对远程接入，无线接入，采用强认证，强32加密机制加以防护32安全防御体系——安全的单元间通信、JANUX不仅能够提供防火墙功能，还能提供基于ipsec的vpn；装softnet客户端；33采用技术，可以对跨越不同安333434安全防御体系——系统加固不补丁管理针对IPC系统上的windows、DB、中并以此为基础，对基于工业以太网的工控系统进行安全加固，并周期需要借助工业安全基线检查工具（ISBC）3535安全防御体系——防病毒在工控网络的IPC毒措施：部署病毒监控、防护