施耐德电气

选择FTP协议后，固件可以选择ftp以太网的方式下载，针对现已运行的低版本固件，输入IP后不需要验证（部分新版本以太网模块需要输入MAC地址确认），这里我们可以使用Wireshark截获传输的明文密码和通信数据，从图中不难看出OSloader会尝试多个默认口令，该默认登录的用户名和密码一般是按照不同的系列和型号区分。

根据抓包OSLoader按顺序尝试如下fwupgrade/upgradefw，qbf771/fcsdfcsd，qbf77101/fcsdfcsd，qbf77111/fcsdfcsd，qbf77121/fcsdfcsd，fwupgrade/fwetzedus，fwupgrade/fwetzedus2，fwupgrade/00000000几组用户名和密码。根据CVE披露的受影响范围，不难看出77101，77111，77121为施耐德以太网模块的几个型号，如NOE 771 01等。



OSLoader登录设备后会尝试远程读取文件系统，这样即可实现远程上传下载，攻击者可以通过替换固件的方式轻松让PLC宕机。

通过SHODAN等搜索引擎对设备特征的查找，将会让攻击者实现自动化攻击变得更加轻松，而厂商也只是在两年之后才发布了修正补丁。

以BMX P34 2020为例默认开放端口如图

施耐德PLC其他型号以太网模块存在的默认口令集如下
Telnet 23
VxWorks login:ntpupdate
Password: ntpupdate

HTTP 80
Schneider Web
username:USER
Password:USER