《表9 Modbus TCP异常的请求与响应数据》

  提示：宽带有限、当前游客访问压缩模式

本系列图表出处文件名：随高清版一同展现

《基于模糊测试的工控网络协议漏洞挖掘方法》

1. 获取 高清版本忘记账户？点击这里登录

1. 下载图表忘记账户？点击这里登录

在模糊测试过程中，发现了4个响应数据异常的情况，其请求与响应数据如表9所示，前3个异常均在功能码为0x05的情况下发生，通过Modbus TCP协议规约文档，获得Modbus TCP协议程序处理0x05功能码的执行流程，可知如果接收的输出数据值不是0x00或0xFF00，则Modbus TCP服务应返回一个异常功能码为0x03的响应，用于告知上位机请求数据异常。第四个异常情况为功能码为0x01的情况下，请求的Data域为空，通过Modbus TCP协议规约文档，针对该不合法的请求数据，Modbus TCP服务应返回一个异常功能码为0x03的响应，该测试用例可能引发了Modbus TCP服务空指针异常。实验结果证明依据协议特征构造的测试用例可以有效检测工控系统的协议漏洞，依据请求与响应协议特征对应关系提出的服务异常监控方法可以有效捕获工控系统的异常信息。