2021工业信息安全技能大赛线上第二场--PLC故障分析

照例先聚焦工控协议和数量较少的功能码，主要是modbus协议，功能码较少的是写单线圈指令（write single coil），wireshark中过滤条件可以用modbus.func_code==5。以14060号包为例，顺序在ETH协议的trailer字段发现有类似MHg3ZjB4MzUw的字符，尝试base64解码，可解出明文。但是每个末尾都会多出一个0。考虑base64可以将3个字符变成4个字符，猜测如果是0x??后面应该缺少x??的部分。同样在ETH协议的frame check sequence部分的字符正好4个长度，14060号包的值为eDNm，将fcs的字符解码正好印证猜想，即实际需要解码的是trailer + frame check sequence。后面的每个字符ascii数值减少2和字符串反转基本没有难题。

一步到位解题代码：

import pyshark
import base64
import binascii


captures = pyshark.FileCapture("06.pcap")
tmp = ''