1. 项目概述为什么工业网络也需要“听诊器”在传统IT领域Wireshark作为网络协议分析的金标准几乎是每个网络工程师和安全研究员的必备工具。但当我第一次把Wireshark的网卡指向一个工业控制系统的网络端口时那种感觉是完全不同的。屏幕上不再是熟悉的HTTP、TCP三次握手而是滚动着诸如“Modbus/TCP”、“S7comm”、“DNP3”、“IEC 104”这样陌生的协议名称数据包的内容也充满了看似随机的十六进制数字。那一刻我意识到工业网络是一个平行于我们日常互联网的“隐秘世界”而Wireshark正是我们进入这个世界、理解其运行逻辑、诊断其潜在风险最关键的“听诊器”。这个项目或者说这次经验分享核心就是探讨如何将Wireshark这个强大的通用工具精准地应用于工业控制系统ICS和监控与数据采集SCADA这一特殊领域。工业网络协议与IT协议在设计哲学上有着根本区别IT协议追求高效、灵活和通用性而工业协议首要目标是确定性、实时性和可靠性。一个Modbus请求/响应延迟几毫秒可能就意味着生产线的一次停机一个被篡改的S7comm数据包可能直接导致物理设备的异常动作。因此对SCADA协议的分析绝不仅仅是“看看数据流”它关乎系统稳定性诊断、通信故障排查、安全威胁发现甚至是理解整个工业流程的“数据脉搏”。无论你是刚接触工控的IT运维人员、负责系统集成的工程师还是关注工业网络安全的研究者掌握Wireshark在工控场景下的应用都是一项极具价值的技能。它能让你从“黑盒”猜测走向“白盒”洞察。接下来我将结合多年在项目现场踩过的坑和积累的经验从环境准备、协议解析、实战分析到安全审计为你拆解这套方法论。2. 核心思路与准备工作打造专属工控抓包环境直接把办公室电脑上的Wireshark连到工厂网络是鲁莽且危险的行为。工控网络环境敏感一个错误的配置或广播流量就可能干扰生产。因此搭建一个非侵入式、安全的抓包环境是第一步也是最重要的一步。2.1 网络接入方案选择镜像端口是唯一正解在工控现场绝对禁止将分析终端直接接入控制网络的核心交换机或PLC的普通业务端口。主流且安全的方案只有一种使用网络交换机的端口镜像Port Mirroring 或 SPAN功能。为什么必须是端口镜像零干扰镜像端口只复制流量不影响原端口的任何数据收发对生产业务零风险。全流量捕获你可以将需要监控的PLC、RTU或工程师站的上联端口流量镜像到你连接Wireshark主机的端口从而捕获所有进出该设备的数据。隐蔽性你的分析主机在网络中是“沉默”的只接收数据不发送任何数据包除非你主动进行注入测试但那必须在独立测试环境进行避免了因主机ARP请求、DHCP探测等行为对网络产生意外影响。实操步骤与注意事项交换机配置登录工业交换机管理界面找到端口镜像功能。通常需要设置“源端口”被监控的设备所连端口和“目的端口”你的抓包主机所连端口。有些交换机还支持基于VLAN或MAC地址的镜像灵活性更高。抓包主机配置用于抓包的电脑最好是一台轻量化的笔记本或工控机。务必禁用其无线网卡防止意外连接到其他网络。同时将其有线网卡的IP地址设置为与被监控网络同网段的一个未被使用的静态IP或者更安全的方式是不设置IP地址在Windows中设置为“自动获取IP”但在没有DHCP服务器的网络中它实际上无法获得IP这样它就无法主动发起任何通信。使用专用抓包网卡可选但推荐对于高性能或需要精确时间戳的场景可以考虑使用Endace、Mellanox等厂商的专用抓包网卡它们能提供更高的吞吐量和更精确的时间戳避免丢包。注意在进行任何镜像配置前必须与工厂的运营技术OT团队进行沟通并获得书面授权。了解网络拓扑明确镜像端口配置不会影响关键环网或冗余链路。2.2 Wireshark的工控专项配置安装好Wireshark后默认配置是为IT网络优化的。为了更好服务工控分析需要进行针对性设置。1. 工控协议解析器Dissectors的启用与验证 Wireshark内置了大量工控协议解析器但默认可能未全部启用。你需要检查并确保它们已激活。路径分析-启用的协议。关键协议在过滤器中输入“modbus”、“s7comm”、“dnp3”、“iec60870”、“cip”、“opcua”等确保其复选框被勾选。对于像“EtherNet/IP”其CIP协议运行在TCP/UDP 44818端口这类协议需要确保相关解析器已关联到正确端口。2. 优化显示过滤器和着色规则 工控流量中可能混杂着设备发现如LLDP、网络时间协议NTP/PTP以及各种厂商私有协议。创建自定义显示过滤器能快速聚焦。示例过滤器modbus过滤所有Modbus流量。s7comm过滤西门子S7协议。tcp.port 502 || udp.port 502捕获所有使用502端口Modbus默认端口的流量。!arp !stp !cdp排除常见的二层发现和链路协议让视图更干净。着色规则可以为关键或异常流量设置醒目颜色。例如将Modbus异常响应功能码高位为1标记为红色将写操作如Modbus的06写单个寄存器标记为黄色。规则路径视图-着色规则。3. 关键首选项设置捕获-选项在“输入”选项卡下为抓包网卡勾选“在所有接口上使用混杂模式”。虽然在不设IP的情况下可能收不到太多非本机流量但勾选更保险。编辑-首选项-协议DNP3可以设置“将片段重组为完整的应用层报文”这对于分析跨多个TCP段的长指令非常有用。TCP/UDP确认“允许子解析器重组TCP流”已启用这对于理解S7comm等多消息交互的协议至关重要。3. 核心工控协议解析实战配置好环境我们开始直面这些工控协议。理解它们的语法和语义是分析的基础。3.1 Modbus/TCP工控世界的“HTTP”Modbus因其简单、开源而广泛应用。在TCP/IP网络上它运行在502端口。协议结构速览 一个Modbus/TCP报文 MBAP头7字节 Modbus PDU。MBAP头包含事务标识符用于请求响应匹配、协议标识符0代表Modbus、长度字段和单元标识符从站地址。Modbus PDU包含功能码和数据。功能码1字节决定操作类型。例如01读线圈03读保持寄存器06写单个寄存器16写多个寄存器。数据根据功能码变化包含寄存器地址、数量、具体数值等。Wireshark实战分析捕获一次典型的读写操作。过滤modbus。选中一个Modbus请求包在下方协议详情面板逐层展开。Wireshark已经帮你解析好了MBAP头和PDU。重点关注“Function: Read Holding Registers (3)”这样的字段。查看寄存器地址和值对于读响应或写请求Wireshark会以十进制和十六进制两种形式显示寄存器地址和读取/写入的值。这是理解数据点的关键。识别异常如果功能码高位为1例如请求是03响应是83说明发生了异常。Wireshark会解析异常码如01非法功能02非法数据地址等。这是故障排查的直接证据。经验心得Modbus协议本身无任何认证或加密。在Wireshark中你可以清晰地看到写入PLC的设定值这既是诊断的便利也赤裸裸地展现了安全风险。寄存器地址的映射关系例如40001地址对应PLC内的哪个实际变量通常需要查阅设备手册或组态软件配置这是将网络数据包与实际工艺参数关联起来的关键。3.2 西门子S7comm协议深度解析PLC的“对话”S7commS7 Communication是西门子S7系列PLC与上位机如STEP 7, WinCC通信的复杂协议。它比Modbus复杂得多包含了连接管理、数据读写、程序上传下载等多种功能。协议特点与Wireshark解析连接建立COTP/TPKTS7comm运行在TCP 102端口上底层先经过TPKTRFC 1006和COTPISO-on-TCP协议层最后才是S7comm。Wireshark能完整解析这个栈。连接建立阶段会有“COTP Connection Request”和“COTP Connection Confirm”的握手过程。S7comm PDU类型Job/ACK简单确认。Job/Ack-Data请求/响应用于读写数据。Userdata用于PLC状态查询、启动/停止等管理功能。关键字段ROSCTRPDU类型如Job (1),Ack (2),Ack-Data (3)。Function功能码如Read Var (0x04),Write Var (0x05),PLC Stop (0x29)。Item读写请求的具体细节包含变量地址如DB10.DBX2.0、长度和值。实战案例分析一次数据块读取过滤s7comm。找到一个“S7COMM”协议ROSCTR为“Job”的请求包。查看其功能Function。如果是“Read Var”展开“Parameter”部分你会看到“Items”。这里详细列出了请求读取的变量地址例如Area: DB memory, Number: 10, Start: 2.0, Length: 1 bit。这表示请求读取DB10.DBX2.0这一个位。找到对应的响应包ROSCTR为“Ack-Data”查看“Data”部分就能看到读取到的值是0还是1。注意事项S7comm协议有多个版本如“S7comm”、“S7comm-plus”加密和复杂性递增。基础S7comm是明文的Wireshark可以完美解析。S7comm-plus可能涉及加密Wireshark只能解析到传输层。理解西门子的存储区概念I, Q, M, DB, T, C和地址编码方式是看懂数据的前提。3.3 DNP3与IEC 60870-5-104电力行业的“规约”在电力SCADA中DNP3Distributed Network Protocol和IEC 104应用广泛。它们设计用于主站Master和远方终端RTU之间支持自发报告Unsolicited Reporting即RTU在状态变化时主动上报而非仅响应主站轮询。DNP3协议分析要点分层结构DNP3数据链路层LPDU负责帧校验和分片传输层负责分段重组应用层APDU包含实际数据。应用层对象DNP3使用对象模型如Group 30 Var 1代表带时标的单点数字量输入。Wireshark会解析出这些对象标识。功能码如Read (0x01),Write (0x02),Select (0x03),Operate (0x04)用于遥控Direct Operate (0x05)Immediate Freeze (0x07)等。Select和Operate的“选择-执行”两步操作是DNP3实现安全遥控的典型方式。内部指示字IIN在响应报文中IIN字段指示了设备状态如“需要时间同步”、“缓冲区溢出”、“设备重启”等是诊断设备健康状态的重要窗口。Wireshark操作 过滤dnp3。展开一个应用层请求你会看到清晰的“DNP3 Request”和“Function Code”。对于响应重点关注“IIN”字段和返回的数据对象列表。Wireshark能够将二进制对象值解析为可读的带品质描述符的测量值如Float: 123.4 (Good)。4. 高级分析与故障排查实战掌握了基础协议解析Wireshark在工控现场才能真正发挥威力。下面分享几个典型的应用场景。4.1 通信超时与中断故障排查现象HMI画面上部分数据点显示####或“通信超时”但网络物理连通性正常。排查思路全局审视首先在Wireshark中停止捕获使用统计功能统计-对话查看TCP或UDP选项卡。找到出问题的设备IP地址观察其对话的报文数量、字节数并与正常设备对比。是否存在大量重传TCP Retransmission或重复的ACK这指向网络拥堵或设备响应缓慢。过滤追踪针对问题设备的IP进行过滤例如ip.addr 192.168.1.10。分析交互时序Wireshark的“时间”列默认显示的是捕获时间差。你可以通过视图-时间显示格式-自上一个捕获分组后的秒数来更直观地看报文间隔。重点关注请求与响应间隔一个Modbus请求发出后多久才收到响应如果超过PLC的扫描周期或预设超时时间常见为1-5秒就会导致超时。TCP连接建立与保持对于S7comm或IEC 104这类基于长连接的协议查看是否有异常的TCP重置RST或结束FIN包。是否存在频繁的TCP重连这可能是防火墙会话超时设置过短或PLC/RTU处理能力不足。解码异常响应仔细查看设备返回的异常响应。一个Modbus异常码02非法数据地址明确告诉你HMI请求的寄存器地址在PLC中不存在。一个DNP3的IIN标志位可能表明RTU内部有错误。我曾遇到的一个案例 一个WinCC站频繁报告与某个S7-300 PLC通信中断。抓包分析发现TCP连接大约每30分钟就会被PLC主动发送一个RST包断开。进一步过滤发现在断开前WinCC会发送一个“PLC Stop”功能的S7comm请求。最终查明是另一个工程师站的组态软件配置了定时任务错误地包含了“停止PLC”的指令。没有Wireshark这个问题就像幽灵一样难以定位。4.2 数据不一致与“跳变”问题分析现象HMI上显示的某个温度值偶尔会突然跳变成一个极大或极小的不合理值然后又恢复正常。排查思路定位数据点首先确定该温度值对应的协议、地址和数据类型。例如是Modbus的保持寄存器40010数据类型为16位有符号整数。精确过滤与搜索使用Wireshark的显示过滤器结合搜索功能。例如对于Modbusmodbus modbus.func_code 3 modbus.reg 9因为40010对应寄存器地址偏移9。然后在包含该数据包的流中右键 -追踪流-TCP流/UDP流查看历史数据。检查原始数据在Wireshark的Packet Bytes面板底部窗口切换到“Hex Dump”模式直接查看该寄存器返回的原始字节。对比正常值和异常值。是某个字节位翻转了如0x41 0x20变成了0xC1 0x20还是字节序弄反了关联分析观察异常数据出现的时间点网络中是否有其他大量广播流量如ARP风暴、或是否有其他高优先级通信任务正在执行这可能是由电磁干扰EMI导致的数据位错误或PLC在高压负载启动时电源波动造成的瞬时故障。经验技巧利用Wireshark的工具-Fire/ACL规则功能可以临时创建一个过滤器只捕获特定数据点的流量减少干扰。对于模拟量理解数据格式如IEEE 754浮点数、有/无符号整数、标度变换至关重要。Wireshark有时能自动解析有时需要你根据手册手动换算。4.3 性能瓶颈分析与优化现象系统整体响应变慢操作指令执行延迟高。排查思路统计流量基线在系统正常时捕获一段时间的流量如5分钟使用统计-摘要记录总包数、字节数、平均包速率pps和比特率bps。对比异常时段在系统缓慢时同样捕获流量进行对比。是否是总流量激增还是特定协议的请求/响应延迟变长分析协议效率轮询间隔对于Modbus等轮询协议主站发送请求的间隔是否过短过短的轮询会给PLC造成不必要的处理负担过长则影响数据刷新率。通过Wireshark的“时间”列可以精确测量轮询周期。报文大小是否在频繁地使用“读多个寄存器”功能码如Modbus的0x03读取大量连续数据这通常比多次读取单个寄存器更高效。反之检查是否有大量的小报文、短数据包导致网络利用率低下因为每个以太网帧都有固定的帧头开销。TCP窗口与吞吐量对于S7comm等TCP协议可以启用Wireshark的“TCP流图”功能统计-TCP流图形-时间序列吞吐量。查看图形中是否存在吞吐量瓶颈、TCP窗口大小是否受限。识别“噪音”流量过滤掉主要的SCADA协议!modbus !s7comm !dnp3看看还剩下什么流量。是否有大量的NetBIOS、LLMNR广播是否有未知的多播流量这些“背景噪音”会消耗交换机和终端设备的处理资源。5. 工业网络安全审计入门Wireshark不仅是诊断工具也是安全审计的利器。在获得授权的前提下可以对工控网络进行安全评估。5.1 识别潜在安全风险明文传输这是工控协议最普遍的风险。直接搜索“包含字符串”功能CtrlF尝试搜索“password”、“admin”、“setpoint”等敏感词汇可能会发现一些明文配置协议或HTTP管理界面泄露的凭证。缺乏认证观察Modbus、DNP3的写操作Function Code。任何主机都可以向PLC发送写寄存器或遥控命令吗协议层面通常没有身份验证。异常访问模式扫描与探测发现来自非授权IP地址的对502、102、44818等工控端口的连接尝试SYN包。使用过滤器tcp.flags.syn1 and tcp.flags.ack0 and (tcp.dstport502 or tcp.dstport102)。功能码滥用过滤异常的Modbus功能码例如试图使用0x10写多个寄存器覆盖大段内存区域或使用0x2B设备标识等诊断功能码进行信息搜集。畸形报文Wireshark会以黑色背景或“Malformed Packet”标识无法正确解析的报文。这可能是攻击者发送的用于模糊测试Fuzzing或导致设备崩溃的恶意数据包。网络架构问题IT/OT网络混流在抓包中发现了来自办公网如10.0.0.0/8的IP地址直接与PLC如192.168.1.0/24通信这违背了分区隔离原则。无线接入发现了802.11Wi-Fi协议的数据包但现场并未部署授权的工业无线网络这可能是一个非法接入点。5.2 构建工控安全分析Profile为了提高效率可以创建一个专门用于工控安全分析的Wireshark配置文件。新建配置编辑-配置文件夹-新建创建一个名为“ICS_Security”的配置。预置关键过滤器tcp.port 502 or udp.port 502Modbustcp.port 102S7commtcp.port 20000DNP3 over TCPtcp.port 44818 or udp.port 44818EtherNet/IPtcp.port 2404IEC 60870-5-104icmpICMP协议常用于网络探测bootp or dhcp动态地址分配在静态IP为主的工控网中出现需警惕设置着色规则高危操作将Modbus的06(写单个寄存器)、10(写多个寄存器)DNP3的05(直接操作)S7comm的Write Var等功能码的报文设为红色背景。异常响应将Modbus异常响应、TCP RST包设为紫色背景。广播/多播将ARP、LLDP等广播流量设为浅灰色降低其视觉干扰。保存并切换保存配置后通过左下角配置文件选择器快速切换。这样在需要安全审查时可以立即进入一个针对性极强的视图。6. 常见问题与排查技巧实录在实际操作中你会遇到各种各样的问题。这里记录了一些典型场景和解决方法。问题1抓不到任何工控协议包只有ARP和少量TCP包。检查确认镜像端口配置正确且流量确实流经该端口可通过在交换机上查看端口计数器确认。检查抓包主机的网卡是否启用了混杂模式Wireshark捕获接口列表前是否有“(P)”标志检查显示过滤器是否误设了过于严格的过滤条件尝试清空所有过滤器。检查工控协议解析器是否已启用尝试在“启用的协议”中搜索并勾选。终极方法使用最原始的tcp.port 502或tcp.port 102过滤器如果还抓不到说明目标流量确实没有到达你的网卡问题出在网络接入层面。问题2Wireshark能识别协议如显示为MODBUS但无法解析功能码和寄存器数据详情面板显示“Malformed Packet”或大量“Unknown”。原因这通常是协议版本或变种不匹配。例如有些设备使用Modbus RTU over TCP在TCP流中直接封装RTU帧无MBAP头而Wireshark默认按标准的Modbus/TCP解析。解决尝试右键点击该数据包 -解码为...在“当前”列中为对应的TCP或UDP端口选择不同的解析器。例如对于非标Modbus可以尝试选择“Modbus”或“None”然后手动分析十六进制载荷。原因也可能是私有协议或经过简单封装。需要结合设备通信手册尝试理解其帧结构必要时可以编写简单的Lua插件进行解析。问题3捕获文件太大分析卡顿。预防在开始捕获前在捕获-选项-输出中设置“环状缓冲区”例如3个文件每个文件50MB。这样只会保留最新的数据。预防使用更精确的捕获过滤器BPF语法。例如只抓特定主机对的流量host 192.168.1.1 and host 192.168.1.10。或者只抓特定协议port 502 or port 102。注意捕获过滤器语法与显示过滤器不同且一旦设置未被匹配的流量将直接丢弃无法恢复。事后对于已捕获的大文件先使用文件-导出特定分组...根据IP或协议过滤后导出一个更小的文件进行分析。问题4如何确定某个数据包的具体含义比如寄存器40025到底对应现场哪个传感器这是工控协议分析的终极挑战Wireshark无法直接回答。解决方法文档寻找PLC程序文档、HMI组态文档或IO地址分配表。关联操作在HMI上对某个设备进行操作如启动一台泵同时抓包寻找同一时间点出现的写线圈或写寄存器命令该命令的地址即对应此设备。趋势分析观察某个寄存器值的变化趋势Wireshark可通过统计-IO图表绘制简单趋势同时观察现场仪表读数进行关联匹配。掌握Wireshark在工控系统中的应用是一个从“看热闹”到“看门道”的过程。它要求你不仅懂网络还要懂一点PLC、懂一点工艺、懂一点安全。最初的迷茫和面对十六进制数的无力感是正常的。我的建议是从一次简单的Modbus通信开始亲手抓一个包对照协议手册一个字段一个字段地去核对直到你能从一串Hex数字中清晰地“看见”那个“读保持寄存器40001-40010”的请求。这个突破一旦发生整个工业网络在你眼中就将变得透明而有序。剩下的就是在无数个现场中用这个“听诊器”去聆听、诊断和守护那些沉默运转的钢铁脉搏。
