在对船只自动控制系统开展检测时，大家注意到自动控制系统对西门子PLCScalance工业生产以太网交换机的比较严重依靠，因而为对其开展了深入分析。历经反向发觉可应用静态密钥对管理 *** 密码开展可逆性加密，并应用不一样的密钥对客户密码开展可逆性加密。

下列是大家寻找静态密钥的方式。

科学研究逐渐于环境变量，密码看上去很不寻常，好像并不是单边hach。 现有系统漏洞可用以修复环境变量和固件，这代表着 *** 攻击能够浏览此信息内容：

密码很简短，长短在于密码尺寸，并会被添充至八个标识符。 这代表着应用的是排序密码开展加密。

在其中用以检测的64位尺寸的密码说明运用DES或Blowfish做为加密优化算法。 此外特别注意的是，管理人员账号有两个密码。

固件反向

固件文档为ARM ELF文档，在ELF文档上运作“binwalk”指令，寻找“VxWorks”嵌入式操作系统和LZMA缩小数据信息的版本号字符串数组。

lzma压缩包是机器设备的关键固件，对它开展压缩包解压说明它是一个二进制文件，沒有可鉴别的文档签字。hexdump缓解压力后的二进制文件说明它是arm固件。

因为固件已被鉴别而且文件格式可读，因而能够将其做为ARM Little-endian二进制文件载入到IDA中。

对固件合理负荷实行静态剖析，而且沒有有关机器设备內部的已经知道信息内容。 因而，固件的入口点尚不清楚。

产生这类状况时，能够应用默认设置详细地址0×00000000做为入口点。 可是，对涵数和数据信息的引入将不精确。

搜索入口点十分关键，因为它能够更非常容易地鉴别已经应用的编码引入和追踪涵数。有很多技术性能够应用，因为固件应用VxWorks嵌入式操作系统，因而存有快捷方式图标。

VxWorks符号表出示与字符串数组引入搭配的涵数引入，容许固件中的每一个涵数都是有一个界定其涵数的名字。根据标志固件启动应用“sysInit”涵数寻找该涵数的入口点。

ram能够根据在编码中设定的值来鉴别，还能够依靠ida剖析固件的一部分。

密码加密剖析

我们可以寻找英语单词“password”的涵数引入或寻找一切相近加密的调用函数，关键放到blowfish或des加密上。在启用主要参数以前追踪载入到主要参数中的值，针对arm，这种值将在存储器r0、r1、r2等中设定。

在“clieditpasswordset”涵数中标志了blowfish调用函数，证实应用了可逆性加密。blowfish测试函数是应用特殊的参量来鉴别的，这种参量能够在 *** 上检索到，那样就可以鉴别所应用的准确blowfish库，该库能够从github免费下载。

能够根据标志传送给存储器r1的值来追踪用以blowfish的加密密钥。存储器r0将包括“ctx”自变量，r1将包括密钥，r2将包括密钥的长短。

分析表明，用以管理人员密码的加密密钥是“els_key”，可是试着应用此字符串数组破译客户密码不成功。进一步分析表明，加密应用了第二个密钥，但没法静态鉴别。

当解决相对性简易的手机软件时，或是有很多時间追踪每一个调用函数时，静态剖析十分有效。在这类状况下，我们无法根据静态剖析来鉴别客户密码的加密方式。

大家选购了scalance *** 交换机，在电脑主板上鉴别出jtag，将头顶部电焊焊接上，并将其联接到segger j-link jtag调试器。

应用segger gdb能够加上中断点并逐渐解析xml固件的每一个原素。从而，能够根据在调用函数时查验存储器设定来标志加密所应用的准确自变量。

明确了下列密码加密方式：

1、管理人员密码应用静态密钥“els_key”加密

2、第二个管理人员密码是一个静态字符串数组“elsdebug”，它应用密文管理人员密码开展加密，用以保证管理人员密码与客户密码应用的加密相对性应

3、全部普通用户密码也用密文管理人员密码加密

解决 ***

西门子PLC对公布的信息内容反应迅速。西门子PLC调研并明确，该难题危害了全部scalance *** 交换机产品系列，

已公布：

新固件公布：

西门子PLC公布了一份安全性提议：