RSAC2022议题分享：OT逆向工程
字数 2251 2025-08-12 11:34:44

OT逆向工程教学文档

1. OT系统概述

1.1 OT定义与特点

  • 定义：OT(Operational Technology)是一类用于监控和控制物理设备性能的硬件和软件系统
  • 应用领域：制造业、运输业、公众服务业等工业控制系统
  • 特点：
    • 通常不与外界互联网直接互联
    • 使用封闭的专有协议(如霍尼韦尔、西门子、施耐德等厂商协议)
    • 系统生命周期长，很少进行修改
    • 安全性脆弱，难以快速打补丁

1.2 OT安全重要性

  • 重大安全事件案例：
    • 2021年Colonial Pipeline勒索软件事件：导致美国东北部45%燃油运输中断，损失9000万美元
    • 2015年乌克兰大规模停电事件：通过钓鱼邮件传播BlackEnergy恶意软件，控制SCADA系统导致140万居民断电
    • 2014年德国钢铁厂攻击
    • 2010年震网病毒(Stuxnet)：针对西门子PLC的核电系统攻击

2. OT安全与IT安全的区别

2.1 主要差异

特性 OT系统 IT系统
系统组成 多样化，不同厂商设备差异大 相对单一
操作系统 专用系统，种类繁多 常见操作系统
网络架构 离线或非IP网络(传感器、现场总线等) 标准IP网络
更新频率 很少更新，生命周期长 定期更新
逆向难度 黑盒分析，文档稀少 有标准CPU和库支持

2.2 OT逆向工程挑战

  1. 设备成本高昂
  2. 难以规模化逆向
  3. 需要多领域专业知识
  4. 缺乏源代码和文档支持

3. OT安全规范与标准

3.1 主要安全规范

  1. IEC 62443：工业通信网络安全性标准
  2. NIST SP 800-82：工业控制系统安全指南
    • 包含风险管理、程序开发部署、安全架构控制等

3.2 网络分割问题

  • 现有规范问题：
    • OT系统难以完全隔离
    • 域间通信控制复杂
    • 新技术(5G、工业4.0)使安全性更复杂
  • 零信任架构(ZTA)在OT中的应用挑战

4. OT安全评估流程

4.1 环境了解

  1. 识别所有设备及其连接方式
  2. 确定设备管理归属
  3. 记录系统所有行为细节

4.2 自动化网络扫描

  1. 设备识别方法：
    • 主动扫描(扫描器)
    • 被动通信协议分析
  2. 漏洞扫描注意事项：
    • OT设备限制
    • 老旧设备可能崩溃

4.3 设备管理分类

  • 可管理设备：PLC等可直接从监控系统获取信息的设备
  • 不可管理设备：需现场测试验证的设备

4.4 实验室测试环境

  • 不需测试所有现场设备
  • 先实验室测试，再现场验证
  • 注意安全合规性

5. OT逆向工程技术

5.1 自动化漏洞分析框架

  1. 逆向工程需求评估
  2. 考虑因素：
    • 成本与规模平衡
    • 嵌入式系统和遗留系统支持
    • 非专业人员的可操作性
    • 离线系统性能考量

5.2 固件分析流程

  1. 设备互连分析
  2. 固件提取
  3. 固件分析
  4. 安全测试报告生成

5.3 二进制分析方法

5.3.1 分析类型

  1. Meta分析：程序头和特征字符串
  2. 恶意软件分析：自修改行为和免杀技术
  3. 0day漏洞发现

5.3.2 分析方法

  1. 反汇编技术：
    • 线性扫描
    • 递归遍历
  2. 模式匹配：
    • 内核操作
    • 溢出攻击
    • opcode序列分析
  3. 机器学习应用
  4. 中间语言(IR)分析：
    • LLVM
    • BAP
    • Binary Ninja
  5. 高级反编译
  6. 仿真分析
  7. 模糊测试

5.3.3 分析工具

  • 静态分析：
    • IDA Pro
    • Ghidra
    • Binary Ninja
    • Radare2
  • 动态分析：
    • AFL/AFL++
    • PRIMUS
    • PIN
    • ANGR
  • 其他工具：
    • BITBLAZE
    • NASA COBRA
    • FLAWFINDER
    • CWE_CHECKER

5.4 二进制文件构成分析

  1. 反汇编代码
  2. 控制流图(CFG)
  3. INT REP/LANG字段

5.5 反汇编关键点

  1. 操作码分析
  2. 寄存器信息
  3. 字节顺序
  4. 调用关系
  5. 十六进制分析

5.6 中间语言生成工具

  1. LLVM
  2. BinaryNinja API
  3. BAP
  4. BitBlaze
  5. Radare

6. 机器学习在OT安全中的应用

6.1 字节码数据序列分析

  • 通用架构：
    1. NLP库
    2. RNN神经网络

6.2 模糊测试(Fuzzing)优化

  1. 当前挑战：
    • 无限分析空间
    • 输入正确性难以保证
  2. 机器学习优化：
    • 智能输入生成
    • 算法优化
    • 最佳payload选择

6.2.1 流行Fuzzing工具

  • AFL(遗传算法)
  • VUzzer
  • FUZZER
  • SES
  • Steelix
  • Angora
  • AFL-laf-Intel
  • InsFuzz
  • T-fuzz
  • REDQUEEN
  • DigFuzz

6.2.2 机器学习Fuzzing流程

  1. 建立fuzz目标
  2. 随机种子文件生成
  3. 测试样例生成
  4. 测试样例过滤
  5. 突变算子选择
  6. 漏洞可利用性分析

7. 自动化实施策略

7.1 实施标准

  1. 目标架构和文件特性识别
  2. 研究时间评估
  3. 程序崩溃点预测
  4. 工具方法组合与自动化更新

7.2 自动化分析工具研发

  1. 开源依赖项分析
  2. 差异化分析：
    • 自动化图形相似性比较
    • 半自动化IDE处理
    • 标记数据创建

7.3 自动化局限性

  1. 难以发现未知安全错误
  2. 尚无法替代熟练逆向人员
  3. 面对复杂攻击仍不成熟

8. 总结

  1. OT安全与IT安全有本质区别，IT安全概念不能直接应用于OT系统
  2. 现有OT安全指南不能完全覆盖所有OT系统需求
  3. 网络分割概念在实际环境中经常失效
  4. OT运营者需深入了解系统架构和连接关系
  5. 在攻击者发现漏洞前完成系统重新设计和漏洞检测至关重要
  6. 自动化逆向工程和漏洞分析技术仍在发展中，需结合专业人员判断
OT逆向工程教学文档 1. OT系统概述 1.1 OT定义与特点 定义 ：OT(Operational Technology)是一类用于监控和控制物理设备性能的硬件和软件系统 应用领域 ：制造业、运输业、公众服务业等工业控制系统 特点 ： 通常不与外界互联网直接互联 使用封闭的专有协议(如霍尼韦尔、西门子、施耐德等厂商协议) 系统生命周期长，很少进行修改 安全性脆弱，难以快速打补丁 1.2 OT安全重要性 重大安全事件案例 ： 2021年Colonial Pipeline勒索软件事件：导致美国东北部45%燃油运输中断，损失9000万美元 2015年乌克兰大规模停电事件：通过钓鱼邮件传播BlackEnergy恶意软件，控制SCADA系统导致140万居民断电 2014年德国钢铁厂攻击 2010年震网病毒(Stuxnet)：针对西门子PLC的核电系统攻击 2. OT安全与IT安全的区别 2.1 主要差异 | 特性 | OT系统 | IT系统 | |------|--------|--------| | 系统组成 | 多样化，不同厂商设备差异大 | 相对单一 | | 操作系统 | 专用系统，种类繁多 | 常见操作系统 | | 网络架构 | 离线或非IP网络(传感器、现场总线等) | 标准IP网络 | | 更新频率 | 很少更新，生命周期长 | 定期更新 | | 逆向难度 | 黑盒分析，文档稀少 | 有标准CPU和库支持 | 2.2 OT逆向工程挑战 设备成本高昂 难以规模化逆向 需要多领域专业知识 缺乏源代码和文档支持 3. OT安全规范与标准 3.1 主要安全规范 IEC 62443 ：工业通信网络安全性标准 NIST SP 800-82 ：工业控制系统安全指南 包含风险管理、程序开发部署、安全架构控制等 3.2 网络分割问题 现有规范问题： OT系统难以完全隔离 域间通信控制复杂 新技术(5G、工业4.0)使安全性更复杂 零信任架构(ZTA)在OT中的应用挑战 4. OT安全评估流程 4.1 环境了解 识别所有设备及其连接方式 确定设备管理归属 记录系统所有行为细节 4.2 自动化网络扫描 设备识别方法： 主动扫描(扫描器) 被动通信协议分析 漏洞扫描注意事项： OT设备限制 老旧设备可能崩溃 4.3 设备管理分类 可管理设备：PLC等可直接从监控系统获取信息的设备 不可管理设备：需现场测试验证的设备 4.4 实验室测试环境 不需测试所有现场设备 先实验室测试，再现场验证 注意安全合规性 5. OT逆向工程技术 5.1 自动化漏洞分析框架 逆向工程需求评估 考虑因素： 成本与规模平衡 嵌入式系统和遗留系统支持 非专业人员的可操作性 离线系统性能考量 5.2 固件分析流程 设备互连分析 固件提取 固件分析 安全测试报告生成 5.3 二进制分析方法 5.3.1 分析类型 Meta分析：程序头和特征字符串 恶意软件分析：自修改行为和免杀技术 0day漏洞发现 5.3.2 分析方法 反汇编技术： 线性扫描 递归遍历 模式匹配： 内核操作 溢出攻击 opcode序列分析 机器学习应用 中间语言(IR)分析： LLVM BAP Binary Ninja 高级反编译 仿真分析 模糊测试 5.3.3 分析工具 静态分析： IDA Pro Ghidra Binary Ninja Radare2 动态分析： AFL/AFL++ PRIMUS PIN ANGR 其他工具： BITBLAZE NASA COBRA FLAWFINDER CWE_ CHECKER 5.4 二进制文件构成分析 反汇编代码 控制流图(CFG) INT REP/LANG字段 5.5 反汇编关键点 操作码分析 寄存器信息 字节顺序 调用关系 十六进制分析 5.6 中间语言生成工具 LLVM BinaryNinja API BAP BitBlaze Radare 6. 机器学习在OT安全中的应用 6.1 字节码数据序列分析 通用架构： NLP库 RNN神经网络 6.2 模糊测试(Fuzzing)优化 当前挑战： 无限分析空间 输入正确性难以保证 机器学习优化： 智能输入生成 算法优化 最佳payload选择 6.2.1 流行Fuzzing工具 AFL(遗传算法) VUzzer FUZZER SES Steelix Angora AFL-laf-Intel InsFuzz T-fuzz REDQUEEN DigFuzz 6.2.2 机器学习Fuzzing流程 建立fuzz目标 随机种子文件生成 测试样例生成 测试样例过滤 突变算子选择 漏洞可利用性分析 7. 自动化实施策略 7.1 实施标准 目标架构和文件特性识别 研究时间评估 程序崩溃点预测 工具方法组合与自动化更新 7.2 自动化分析工具研发 开源依赖项分析 差异化分析： 自动化图形相似性比较 半自动化IDE处理 标记数据创建 7.3 自动化局限性 难以发现未知安全错误 尚无法替代熟练逆向人员 面对复杂攻击仍不成熟 8. 总结 OT安全与IT安全有本质区别，IT安全概念不能直接应用于OT系统 现有OT安全指南不能完全覆盖所有OT系统需求 网络分割概念在实际环境中经常失效 OT运营者需深入了解系统架构和连接关系 在攻击者发现漏洞前完成系统重新设计和漏洞检测至关重要 自动化逆向工程和漏洞分析技术仍在发展中，需结合专业人员判断