工业控制系统安全防护 课件 第三章 工业控制系统漏洞扫描

工业控制系统漏洞扫描ICSSecurity&Protection目录系统漏洞概述01.常见的漏洞扫描工具02.工业控制系统安全漏洞03.01系统漏洞概述ICSSecurity&Protection系统漏洞定义系统漏洞是计算机系统在硬件、软件、协议实现或安全策略上的缺陷，可被攻击者利用，造成严重安全威胁。系统漏洞危害系统漏洞可能使攻击者未经授权访问或破坏系统，导致数据泄露、系统崩溃等严重后果。常见系统漏洞常见的系统漏洞包括HTTP标头跟踪、SQL注入、弱密码等，这些漏洞对系统安全构成重大威胁。010203系统漏洞介绍软件漏洞是由于编程语言漏洞或开发者疏忽导致的安全问题，如缓冲区溢出、XSS攻击、SQL注入等。01软件漏洞硬件漏洞是计算机硬件在设计或制造过程中出现的缺陷，如Meltdown和Spectre漏洞。02硬件漏洞配置漏洞是由于系统配置不当导致的安全问题，如弱密码、未开启防火墙等。03配置漏洞系统漏洞类型01软件漏洞是因编程语言漏洞或开发者疏忽引入的错误、缺陷等安全问题，可能导致软件运行异常。定义02漏洞被恶意利用，可能使软件崩溃、系统被控制或敏感信息泄露。影响软件漏洞定义STEP.01STEP.02概念数据超出缓冲区容量，覆盖合法数据，攻击者可借此运行恶意代码。防范开发者采用安全编程方式，使用安全函数，检查参数大小。缓冲区溢出利用网页漏洞注入恶意代码，用户加载网页时执行，攻击者可获取权限或敏感信息。概念遵循编程安全原则，验证用户提交内容，使用POST提交表单，不在cookie中存放重要信息。防范跨站脚本攻击（XSS）0102概念攻击者将恶意SQL代码作为参数传入Web应用程序，执行恶意代码获取敏感信息或非法操作。防范严格限制用户权限，禁止开发者将变量直接写入SQL。SQL注入概念攻击者将可执行文件伪装成无害文件上传服务器，执行后可获服务器权限或恶意操作。防范设置文件上传目录为不可执行。文件上传漏洞硬件漏洞是计算机硬件在设计或制造过程中出现的缺陷，会对计算机系统造成安全威胁。包括计算机硬件单元漏洞、固件漏洞、物理媒介漏洞等。定义类型硬件漏洞定义Meltdown和Spectre2018年1月曝光的两个处理器高危漏洞Meltdown和Spectre震惊了整个计算机行业。攻击者可以绕过内存访问的安全隔离机制，使用恶意程序来获取操作系统和其他程序的被保护数据，造成内存敏感信息泄露。硬件漏洞案例定义配置漏洞是因系统配置不当导致的安全问题。类型如弱密码、未开启防火墙等。配置漏洞定义弱密码攻击者可快速破解密码，进入系统。未开启防火墙攻击者可长驱直入，轻松获取系统信息。配置漏洞危害漏洞扫描是检测系统、网络或应用程序中安全漏洞的技术手段。技术层面及时发现漏洞，降低安全风险，保障系统稳定运行。重要性漏洞扫描定义在目标主机安装代理软件，搜集信息上传分析，适用于复杂网络环境。代理服务器模式不需安装软件，通过网络协议获取反馈，适合轻量级检测。无代理模式在目标主机运行独立程序，深入检测安全漏洞，适合主机数量多的网络。独立扫描模式主机扫描主动检测，使用端口扫描、网络映射等技术，全面评估网络安全性。检测方式适用于网络日常安全评估及系统升级改造时的安全性检测。适用场景网络漏洞扫描作用适用于网络安全或主机安全的初步评估，快速定位风险端口。原理发送网络查询指令，检查端口状态（开放、关闭、过滤），寻找潜在入口。PART01PART02端口扫描功能应用范围自动或手动检测Web应用漏洞，如XSS、CSRF、SQL注入等，提升应用安全性。适用于各类Web系统，帮助企业深入剖析安全状况，保障业务安全。Web应用程序漏洞扫描评估IaaS、PaaS、SaaS等云计算环境的安全性，检测云设置、访问限制等。检测对象定期扫描确保云环境和资源安全，适用于使用云计算服务的企业。价值云应用漏洞扫描全面扫描数据库，获取版本、配置、服务、权限等信息，分析漏洞。功能适用于数据库漏洞查找及数据安全相关的安全性评估。适用场景数据库扫描方法静态代码分析，检测代码漏洞或缺陷，降低修复成本。优势适用于软件开发周期中保障代码质量和安全性，提前发现隐患。源代码扫描02常见的漏洞扫描工具ICSSecurity&Protection定义Nmap（NetworkMapper）是一款开源的网络探测工具，广泛应用于网络管理和安全评估。01功能主机探测、端口扫描、服务检测、操作系统检测等，功能丰富。02Nmap简介传统的命令行操作，灵活强大，适合高级用户。命令行界面直观呈现扫描结果，操作简便，适合新手。图形化界面ZenmapNmap界面功能描述检测网络上在线的主机，确定哪些主机处于开启状态。示例命令“nmap/24-sP”，扫描指定网段上所有在线主机。主机探测检测目标主机开放的端口，了解主机运行的服务及潜在风险。功能描述“nmap02”，列出目标主机所有开放端口。示例命令端口扫描检测目标主机提供的服务名称和版本，评估服务安全性。功能描述“nmap-p80-sV02”，检测目标主机80端口服务及版本。示例命令服务检测功能描述探测目标主机操作系统类型及版本，为安全防护提供依据。示例命令“nmap-p80-O02”，扫描目标主机操作系统。系统检测语法结构nmap[options][target]，其中options为扫描参数，target为扫描目标。参数类型扫描类型、端口指定等，参数可多个或无。基本语法0102扫描方式参数如-sP（Ping扫描）、-sS（TCPSYN扫描）、-sU（UDP扫描）等，满足不同扫描需求。其他参数A（全面扫描）、-T（指定扫描速度）、-o（输出格式）等，灵活控制扫描过程。常用参数“nmap/24-sP”，扫描指定网段在线主机。快速定位网络中的活跃主机，为后续操作提供基础。作用示例主机探测命令“nmap-p80-sT02”，指定扫描目标主机80端口，使用TCP全连接方式。”示例精准检测目标端口状态，评估安全风险。”作用端口扫描命令“nmap-p80-sV02”，检测目标主机80端口服务及版本。示例了解服务细节，为安全加固提供依据。作用服务检测命令示例“nmap-p80-O02”，扫描目标主机操作系统。作用确定操作系统类型及版本，针对性采取安全措施。0102系统检测命令如-oX（XML格式）、-oN（普通文本格式），满足不同需求。输出格式“nmap-p8002-oXresult.xml”，将扫描结果保存为XML文件。示例命令便于后续分析和记录，方便管理和审计。作用结果保存Nessus是一款功能强大的远程安全检测工具，采用客户/服务器体系结构，支持可定义插件功能。Nessus功能介绍Nessus具有更新频繁、容易使用、支持多种报告格式等特点，是渗透测试领域的重要工具之一。Nessus特点0102NessusAppscan功能介绍Appscan主要用于Web应用程序和移动应用程序的漏洞检测，支持主动和被动扫描技术。壹Appscan特点Appscan提供可视化的漏洞报告和建议修复措施，方便用户了解系统的安全状况。贰AppscanICSScan功能介绍ICSScan是国内一款工控系统漏洞扫描器，支持漏洞扫描、漏洞挖掘、Web扫描等功能。ICSScan支持国内外常见厂商的多种工控系统设备，是工控系统安全风险评估的利器。ICSScan特点ICSScan03工业控制系统安全漏洞ICSSecurity&Protection工业控制系统是各种控制系统的总称，广泛应用于电力、通信、化工、航空航天等领域。工业控制系统定义工控安全漏洞是外界攻击工控系统的入口，可能导致设备失灵、系统混乱甚至生产线停机，造成重大损失。工业控制系统安全漏洞危害随着工业互联网的发展，工控系统面临越来越多的风险，我国大部分暴露在互联网上的工控系统存在漏洞。工业控制系统安全漏洞现状工业控制系统安全漏洞介绍配置漏洞配置漏洞是由于系统配置不当导致的安全问题，如弱密码、未开启防火墙等。软件漏洞软件漏洞主要是指工控系统应用程序和工控协议上的漏洞，如数据传输加密性不足等。硬件漏洞硬件漏洞主要来自电气设计和硬件制造，传感器和执行器等设备容易受到攻击。工业控制系统安全漏洞分类宁允展研磨高铁列车转向架“定位臂”宁允展，南车青岛四方机车车辆股份有限公司车辆钳工高级技师，中国南车技能专家，高铁首席研磨师。高铁列车的转向架“定位臂”是保证列车安全高速运行的关键部件，其研磨精度要求达到0.05毫米，相当于头发丝的一半。宁允展多年来一直专注于“定位臂”的研磨工作，他采用手工研磨的方式，在不断的实践中摸索出一套独特的研磨工艺。他工作时全神贯注，不放过任何细微瑕疵，经过他研磨的“定位臂”合格率极高，为我国高铁列车的安全稳定运行提供了可靠保障，他在平凡的岗位上做出了不平凡的业绩，展现了大国工匠对品质的极致追求。大国工匠谢谢大家ICSSecurity&Protection搭建与应用漏洞扫描环境ICSSecurity&Protection搭建漏洞扫描环境使用nmap进行网络扫描工业控制系统扫描目录010203CONTENTS01搭建漏洞扫描环境ICSSecurity&Protection任务目标本任务旨在模拟工业控制系统环境，通过搭建漏洞扫描环境，帮助安全专业人员熟悉漏洞扫描工具的使用，掌握网络和工业控制系统漏洞的发现方法，为后续的安全评估和防护工作打下基础。环境概述KaliLinuxKaliLinux是基于Debian的Linux系统，专为渗透测试和网络安全设计，预装了多种安全工具，如nmap、Wireshark等，能够有效评估和测试网络安全性，发现潜在漏洞和弱点。VirtualboxVirtualbox是一款开源虚拟机软件，简单易用，支持多种操作系统虚拟化，性能优异，可为搭建漏洞扫描环境提供稳定的虚拟平台，方便用户进行各种安全测试。MobaXtermMobaXterm是专为Windows设计的SSH客户端，集多种网络工具功能于一体，提供丰富的终端功能和良好的交互体验，还能处理远程服务器上的X应用程序图形界面，便于用户在Windows系统下使用基于X协议的应用程序。软件准备安装Virtualbox首先，访问Virtualbox官网”，根据自己的系统版本下载并安装Virtualbox，这是搭建漏洞扫描环境的基础软件，为后续虚拟机的创建和运行提供支持。配置Kali网络在Virtualbox中选中Kali虚拟机，点击“设置”，在“存储”选项中添加Kali虚拟磁盘镜像文件；在“网络”选项中，选择“仅主机（Host-Only）网络”，使Kali系统与本机能够进行通信，从而构建一个简单的网络环境，为漏洞扫描操作提供网络基础。下载与安装Kali接着，前往Kali官网选择Virtualbox版本的Kali进行下载。下载完成后解压，得到vdi和vbox文件，然后在Virtualbox中新建Kali虚拟机，设置好相关参数，完成Kali的安装。010203环境搭建登录与界面切换启动Kali虚拟机，使用默认用户名和密码“kali”登录，进入窗口模式下的Linux系统。按〈Ctrl+Alt+F2〉组合键可切换至命令行界面，方便后续命令的执行和操作。在Kali系统中执行命令“ifconfig”，查看网络接口配置信息，确认Kali分配的IP地址等参数。同时，在本地电脑上执行“ipconfig”命令，找到与Kali在同一网段的IP地址，确保两者能够正常通信，为后续的漏洞扫描提供网络保障。由于许多安全操作需要root权限，因此需要修改root用户密码。使用命令“sudopasswdroot”，按照提示输入kali账号密码和新密码“root”，完成root密码的设置，以便后续以root用户身份执行相关命令。为了方便后续操作，需要对Kali进行配置，使其支持rootssh登录。编辑文件“/etc/ssh/sshd_config”，修改相关参数，然后重启ssh服务，并设置ssh服务随机启动，最后通过MobaXterm远程登录Kali，测试连接是否成功，确保能够远程管理和操作Kali系统。网络配置检查远程登录配置获取root权限环境测试02使用nmap进行网络扫描ICSSecurity&Protection扫描网段设备在Kali系统中执行命令“nmap–sP/24”，扫描指定网段内的在线设备。通过该命令可以快速了解当前网络环境中有哪些设备处于活动状态，为后续的漏洞扫描和安全评估提供目标范围。设备扫描在本地机器上利用Python自带的HTTP模块，执行命令“python–mhttp.server”，启动一个简单的Web服务。通过浏览器访问该服务，确认服务已成功开启，为后续的Web扫描提供目标。在Kali中执行命令“whatweb-v”，对本地Web服务进行扫描，获取Web服务的相关信息，如使用的Python版本等，从而了解目标Web服务的详细情况，为Web安全分析提供依据。扫描Web服务信息启动本地Web服务Web扫描获取目标系统信息在Kali中执行命令“nmap-O--osscan-guess02”，扫描目标设备的操作系统类型。通过该命令可以获取目标设备的操作系统信息，同时还能列出该系统上开启的所有端口，为全面了解目标设备的安全状况提供重要信息。操作系统扫描03工业控制系统扫描ICSSecurity&Protection编写模拟脚本使用Python编写脚本，模拟一个正在运行的Modbus设备。脚本中导入了必要的模块，创建了ModbusSlaveContext对象和ModbusDeviceIdentification对象，设置了设备的标识信息，并通过StartTcpServer函数启动Modbus服务器，模拟出特定的Modbus设备，为后续的工业控制系统扫描提供目标。模拟Modbus设备获取设备详细信息在Kali中执行命令“nmap02-p502--scriptmodbus-discover”，调用nmap自带的modbus-discover脚本，获取Modbus设备的详细信息，如设备名称等。通过该命令可以深入了解目标Modbus设备的具体情况，为后续的漏洞分析和安全评估提供关键信息。扫描502端口在Kali系统中执行命令“nmap02-p502”，扫描目标地址上的502端口，确认该端口是否开放以及服务类型。通过该命令可以初步判断目标设备是否为Modbus设备，为进一步获取设备详细信息奠定基础。STEP02STEP01扫描Modbus设备查询设备漏洞针对获取到的Modbus设备信息，前往阿里云漏洞库（）搜索“ModiconM340”，查找该设备已知的漏洞信息。每条漏洞记录包含漏洞名称、类型、披露时间等详细内容，通过查询这些信息，可以全面了解目标设备的安全风险，为制定相应的安全防护措施提供参考依据。漏洞信息查询谢谢大家ICSSecurity&ProtectionSQL注入攻击与防护ICSSecurity&Protection01.SQL注入概述02.常见SQL注入类型03.SQL注入防护方法目录01SQL注入概述ICSSecurity&Protection定义与危害SQL注入是攻击者通过构造恶意输入数据，干扰应用程序与数据库的交互逻辑，从而篡改SQL语句，达到非法获取、篡改或删除数据的目的，严重威胁网络安全。SQL注入定义原理示例以登录页面为例，正常SQL语句为select*fromuserswhereusername='user1'andpassword='123456';，若输入恶意用户名'or1=1--，则SQL语句变为select*fromuserswhereusername=''or1=1--'andpassword='';，因1=1恒为真，攻击者无需密码即可登录。攻击原理攻击原理案例分析某网站因未对用户输入进行验证，攻击者通过SQL注入获取了大量用户数据，包括用户名、密码等敏感信息，导致用户隐私泄露，网站信誉受损。STEP01典型案例02常见SQL注入类型ICSSecurity&Protection特点与示例数字型参数直接拼接到SQL语句中，如SELECT*FROMusersWHEREid=$id，若用户输入1OR1=1，则返回所有用户信息。数字型注入字符型参数用引号包裹，攻击者可利用引号构造恶意输入，如用户名为admin'--，则SQL语句变为SELECT*FROMusersWHEREusername='admin'--'，可能返回管理员信息。特点与示例字符型注入搜索功能中，关键词被构建到SQL的LIKE子句中，如SELECT*FROMproductsWHEREnameLIKE'%$keyword%'，若输入%'OR1=1-