本技能为 OT/ICS 工控系统攻击方法论，属于授权安全测试场景下的攻击链路梳理与工具参考。资料以显著的安全警告开篇：OT 系统直接控制物理过程，错误操作可能导致设备损坏、环境灾难或人身伤害，仅在明确授权和安全隔离环境下测试。
用途与适用场景 当目标涉及 SCADA/DCS/PLC 系统、发现 Modbus/DNP3/OPC UA/EtherNet/IP 等工控协议，或需要评估关键基础设施安全时使用。覆盖范围包括工控协议利用、PLC 攻击、HMI 渗透以及 IT/OT 边界突破。
前置：OT 环境理解 资料以 Purdue 模型描述网络分层：Level 5 企业网络（IT）、Level 4 业务规划（ERP/MES）、DMZ/IT-OT 边界、Level 3 站点运营（Historian/SCADA 服务器）、Level 2 区域控制（HMI/工程站）、Level 1 基础控制（PLC/RTU/DCS）、Level 0 物理过程（传感器/执行器）。攻击路径通常为 Level 5 → 4 → DMZ → 3 → 2 → 1 → 0，关键突破点是 IT/OT 边界（DMZ 配置错误）。
常见工控协议及端口 Modbus TCP（502，无认证，用于 PLC 读写寄存器）、DNP3（20000，可选认证，电力 SCADA）、OPC UA（4840，有认证，数据访问）、EtherNet/IP（44818，无认证，Rockwell PLC）、S7comm（102，无认证，Siemens PLC）、BACnet（47808，无认证，楼宇自控）、FINS（9600，无认证，Omron PLC）。
Phase 1：信息收集（被动优先） 资料给出 Shodan 检索示例（port:502 product:Modbus、port:102 product:S7、port:44818 product:EtherNet/IP、port:47808 product:BACnet）；授权后可用 nmap 低速率扫描（-sT -Pn -p 102,502,4840,20000,44818,47808 --scan-delay 500ms）；有镜像端口时可用 tcpdump 抓取 502/102/44818 端口流量并保存为 pcap；Wireshark 内置支持 Modbus、DNP3、OPC UA、S7comm、EtherNet/IP 解析。
Phase 2：工控协议利用 提供三段代码示例。Modbus TCP 使用 pymodbus 的 ModbusTcpClient，演示读取保持寄存器、读取线圈状态，并标注写入单个寄存器/线圈属于会改变物理过程的危险操作，仅限安全环境。Siemens S7comm 使用 snap7，演示连接（含 rack/slot 参数说明）、获取 CPU 信息、读取数据块 DB、读取输入/输出区，并标注 plc_stop 与 plc_cold_start 为危险操作。EtherNet/IP 使用 pycomm3 的 LogixDriver，演示读取单个与多个标签、获取 PLC 信息、列出标签列表，写入示例被注释。
Phase 3：HMI/SCADA 服务器攻击 列出常见问题类别：默认凭据、未加密通信、Web HMI 的 SQL 注入/XSS、VNC 无密码暴露、RDP 弱口令、过时操作系统、未更新的 SCADA 软件（已知 CVE）。列举常见 SCADA 软件：Siemens WinCC、GE iFix/CIMPLICITY、Schneider ClearSCADA、Wonderware InTouch、Ignition、Kepware KEPServerEX。
Phase 4：IT/OT 边界突破 列出的可能入口：Historian 服务器跳板、双网卡工作站、HMI 上的 VPN/远程访问通道、IT/OT 共享文件服务器、连接 OT 的 MES/ERP 数据库服务器、防火墙规则宽松导致的 OT→IT 无限制回连。
Phase 5：攻击影响评估与安全约束 潜在物理影响包括改变 PLC 逻辑导致过程失控、修改 HMI 显示制造假数据、停止 PLC 造成停产、修改安全限值越过阈值，以及同时攻击 SIS 与 PLC 的最危险情形。红队测试安全约束：绝不修改 SIS；绝不在生产系统执行写入操作；仅通过读取操作验证可达性；写入操作在独立测试环境验证；随时与运维团队保持通信。
工具速查 pymodbus（Modbus TCP 客户端）、python-snap7（Siemens S7 通信）、pycomm3（EtherNet/IP CIP）、Wireshark + ICS dissectors（协议分析）、PLCScan（PLC 枚举）、ISF（Industrial Exploitation Framework，ICS 利用框架）、GRASSMARLIN（OT 网络拓扑发现）、Shodan/Censys（暴露面发现）。
限制 资料未提供授权流程、合规要求、具体目标环境配置、版本兼容性说明及定价或收费信息。所有读写示例均为方法论演示，实际使用须遵守前文安全约束。