Анализ защиты регистрационным ключом в библиотеке S7-OPEN MODBUS/TCP

Разбираем вариант защиты программного обеспечения для контроллеров Siemens.

Описание

Защита применена в библиотеке COMM, функции MODBUSCP, предназначенной для обмена данными по протоколу S7-OPEN MODBUS/TCP.

Чтобы выполнить правильную регистрацию, необходимо выполнить следующие шаги (взято из официального руководства):

• Вызываем функцию MODBUSCP в организационном блоке регистрируемого CPU, открываем экземплярный блок данных, переходим в онлайн Ctrl+F3 и копируем строку IDENT_CODE.
• Посылаем эту строку по адресу [email protected] (попробовал проделать эту операцию, получил письмо с текстом ‘Your email is not read and not processed.’ и просьбой перейти по ссылке, неоднократно переходя по которой упираешься в надпись ‘Unfortunately there might be a temporary problem in accessing the data, but we are making every effort to clear any faults as quickly as possible. Please try again in a few minutes.
  We apologize for any inconvenience.’
  Тупик вообщем 🙂
• Получаем в ответ регистрационный ключ, который подаем на вход функции REG_KEY
• Регистрация закончена.

Если функция незарегистрированная, при работе контроллера получаем сообщения каждые 4 секунды, в буфере диагностики, об отсутствии лицензии и ошибки обращения к блоку данных.

Ошибка обращения к блоку данных, формируется строкой PT.IN:=DB0.DBX0.0,

Получаем ключ отладкой

Беглый обзор кода функции, показывает, что полученный REG_KEY сравнивается внутри кода посимвольно, что означает что правильный код генерируется внутри функции.
Попробуем найти этот сгенерированный код с помощью пошаговой отладки.

Получаем IDENT_CODE:

Задаем серийный номер как константу
(на симуляторе серийный номер CPU не читается).
Устанавливаем точку останова после генерации IDENT_CODE.

Находим IDENT_CODE в экземплярном блоке:

Копируем получившуюся строку.

Находим REG_KEY:

Устанавливаем точку останова после генерации лицензионного ключа tAlicenseKey
Изменяем немного участок кода, чтобы ключ копировался в удобную для обработки область sSTATUS_CODE

Копируем результат:

Эта строка и есть сгенерированный ключ.

Проверяем результат:

Создаем блок данных, в который прописываем этот ключ.

Подаем ключ на вход блока:

В ключе 17 символов.

Результат:

Ключ подходит.

Выделяем код генерации ключа

Анализируя код генерации и последовательно упрощая довольно запутанный код, получаем упрощенный вариант (вариант на PHP).

$serialn:=‘SC-W0VK37682008’,
$tSProductID=‘MODCP2XV94501MB00’,
  for ($i = 1, $i &lt,=17, $i++)
  {
    $IDENT_CODE_arr[$i]=(($serialn_arr[$i] ^ $tSProductID_arr[$i]) % 13) + 65,
  }
$IDENT_CODE_arr[18]=50,

Генерация идентификационного кода IDENT_CODE

$sHoldingRegisterState_arr   =  ARRAY(0, 223, 32, 240, 67, 135, 170, 11, 0, 96, 159, 159, 33, 38, 64, 53, 0, 0, 1, 0, 0, 0, 0, 0 ),
  for ($i = 1, $i &lt,=17, $i++)
 {
    $tALicenseKey_arr[$i]=$IDENT_CODE_arr[$i] ^ ($sHoldingRegisterState_arr[$i–1] ^ ($i)),
    $tALicenseKey_arr[$i]=($tALicenseKey_arr[$i] % 26) + 65,
 }
$tALicenseKey[18]=50,

Генерация регистрационного ключа REG_KEY

Как видно, ничего особо сложного нет.
Небольшой вывод: защита довольно слабая, хотя без шифрования кода функции и/или применения аппаратных ключей добиться большего вряд ли возможно.

Комментарии к материалу