solar1应急响应-2025.10月

工厂应急响应Q3

1.1.1.1 (公共 DNS)

192.0.2.34 (测试网络)

8.8.8.8 (Google DNS)

198.51.100.5 (测试网络)

10.0.0.8 (内网地址)

203.0.113.20 (测试网络)

10.0.0.8 是唯一的内网地址，其他都是公网或测试地址

flag{10.0.0.8}

💡

A 记录

DNS 系统中最核心的记录类型之一,将域名指向一个 IPv4 地址

域名：engws.plant.local  →  A记录解析 →  IP地址：10.0.0.8

其他常见 DNS 记录类型

记录类型	作用
A 记录	域名 → IPv4 地址
AAAA 记录	域名 → IPv6 地址
CNAME 记录	域名 → 另一个域名（别名）
MX 记录	邮件服务器地址

工厂应急Q5

flag{engws.plant.local_/rpc}

而且由这题可以确定HMI的IP是10.0.0.5，工程站IP是10.0.0.8

了解了一下HMI：

💡

HMI 就是操作人员与机器、设备或系统进行交互和控制的界面。它是人与机器之间信息交换的桥梁。

工厂应急Q4

icmp请求中找不到一个request请求成功的包，那么就想既然是成功发起，还有一个协议也能就是TCP，在第三次握手时表示的应该是成功连接

了解提交格式

YYYY-MM-DDTHH:MM:SSZ

• YYYY = 4位年份
• MM = 2位月份（01-12）
• DD = 2位日期（01-31）
• T = 时间开始分隔符
• HH = 2位小时（00-23）
• MM = 2位分钟（00-59）
• SS = 2位秒（00-59）
• Z = 表示 UTC 时区

工厂应急Q2

没听过这个NodeId

💡

NodeId 通常指的是网络设备、主机或服务的唯一标识符，用于在特定的网络协议或管理系统中进行寻址、管理和通信。

它的意义在于：

1. 流量来源/目的地识别：明确这个数据包是来自哪个节点，或者要发送给哪个节点。
2. 故障诊断：如果某个 NodeId 的节点停止发送心跳或产生异常流量，可以快速定位故障设备。
3. 拓扑发现：通过分析流量包中的 NodeId，可以自动绘制出网络或服务之间的通信拓扑图。
4. 安全分析：发现一个未经授权的 NodeId 在发送流量，可能意味着存在非法接入或网络攻击。

frame contains "NodeId"
tcp contains "NodeId" 
http contains "NodeId"

发现不行

opcua || tcp contains "Write" ||http contains "write"

flag{ns=2;s=Pump/SpeedSetpoint}

工厂应急响应Q1

在Q2那里找到的NodeId正好出现了Pump也就是泵的字样

这里将泵的速度改了，可能会引起它的故障

然后后面题目又加了提示

这是典型的 Modbus TCP 协议格式：

• transaction_id：事务标识符
• function_code：功能码
• coil_address：线圈地址

在真实的工厂环境中：

1. OPC UA：常用于上层监控系统（HMI、SCADA）之间的数据交换，更偏向于”数据展示和聚合”。
2. Modbus：常用于底层设备控制（PLC、变频器、泵控制器），直接对设备寄存器/线圈进行读写。

1.1.1.1 (公共 DNS)

192.0.2.34 (测试网络)

8.8.8.8 (Google DNS)

198.51.100.5 (测试网络)

10.0.0.8 (内网地址)

203.0.113.20 (测试网络)

10.0.0.8 是唯一的内网地址，其他都是公网或测试地址

flag{10.0.0.8}

💡

A 记录

DNS 系统中最核心的记录类型之一,将域名指向一个 IPv4 地址

域名：engws.plant.local  →  A记录解析 →  IP地址：10.0.0.8

其他常见 DNS 记录类型

记录类型	作用
A 记录	域名 → IPv4 地址
AAAA 记录	域名 → IPv6 地址
CNAME 记录	域名 → 另一个域名（别名）
MX 记录	邮件服务器地址

工厂应急Q5

flag{engws.plant.local_/rpc}

而且由这题可以确定HMI的IP是10.0.0.5，工程站IP是10.0.0.8

了解了一下HMI：

💡

HMI 就是操作人员与机器、设备或系统进行交互和控制的界面。它是人与机器之间信息交换的桥梁。

工厂应急Q4

icmp请求中找不到一个request请求成功的包，那么就想既然是成功发起，还有一个协议也能就是TCP，在第三次握手时表示的应该是成功连接

了解提交格式

YYYY-MM-DDTHH:MM:SSZ

• YYYY = 4位年份
• MM = 2位月份（01-12）
• DD = 2位日期（01-31）
• T = 时间开始分隔符
• HH = 2位小时（00-23）
• MM = 2位分钟（00-59）
• SS = 2位秒（00-59）
• Z = 表示 UTC 时区

工厂应急Q2

没听过这个NodeId

💡

NodeId 通常指的是网络设备、主机或服务的唯一标识符，用于在特定的网络协议或管理系统中进行寻址、管理和通信。

它的意义在于：

1. 流量来源/目的地识别：明确这个数据包是来自哪个节点，或者要发送给哪个节点。
2. 故障诊断：如果某个 NodeId 的节点停止发送心跳或产生异常流量，可以快速定位故障设备。
3. 拓扑发现：通过分析流量包中的 NodeId，可以自动绘制出网络或服务之间的通信拓扑图。
4. 安全分析：发现一个未经授权的 NodeId 在发送流量，可能意味着存在非法接入或网络攻击。

frame contains "NodeId"
tcp contains "NodeId" 
http contains "NodeId"

发现不行

opcua || tcp contains "Write" ||http contains "write"

flag{ns=2;s=Pump/SpeedSetpoint}

工厂应急响应Q1

在Q2那里找到的NodeId正好出现了Pump也就是泵的字样

这里将泵的速度改了，可能会引起它的故障

然后后面题目又加了提示

这是典型的 Modbus TCP 协议格式：

• transaction_id：事务标识符
• function_code：功能码
• coil_address：线圈地址

在真实的工厂环境中：

1. OPC UA：常用于上层监控系统（HMI、SCADA）之间的数据交换，更偏向于”数据展示和聚合”。
2. Modbus：常用于底层设备控制（PLC、变频器、泵控制器），直接对设备寄存器/线圈进行读写。