工控协议端口速查表

一、Modbus 系列

端口	协议	说明
502	Modbus TCP	标准Modbus端口，最常见
8011	Modbus TCP	变体
502-505	Modbus	备用端口

---

二、西门子 S7 协议

端口	协议	说明
102	S7Comm	西门子PLC专用
102-103	S7Comm	经典端口

---

三、IEC 104 协议（电力系统）

端口	协议	说明
2404	IEC 60870-5-104	电力调度常用
2404-2405	IEC 104	备用

---

四、DNP3 协议

端口	协议	说明
20000	DNP3 TCP	分布式网络协议
20000-20002	DNP3	变体

---

五、Ethernet/IP (CIP)

端口	协议	说明
44818	EtherNet/IP	Rockwell/Allen-Bradley
2222	CIP	通用工业协议

---

六、OPC 系列

端口	协议	说明
135	OPC DA	传统OPC（基于DCOM）
4840	OPC UA	新一代OPC
5353	OPC UA Discovery	服务发现

---

七、Profinet

端口	协议	说明
102	Profinet	与S7Comm共用
34962-34964	Profinet	RT通信

---

八、其他常见工控协议

端口	协议	说明
161/162	SNMP	设备管理
9600	MMS	制造报文规范
4000-4005	BACnet	楼宇自动化
47808	BACnet/IP	楼宇自动化IP版
1911	Foxboro	Foxboro I/A系列
12345	Generic	通用测试端口
5500-5600	EtherCAT	实时以太网
5000-5005	Synchrophasor	PMU数据

---

九、最常见 TOP 5：

端口	协议	应用场景
502	Modbus	通用PLC、逆变器
102	S7Comm	西门子PLC
2404	IEC104	电力调度、变电站
44818	EIP	Allen-Bradley PLC
135	OPC	工业数据采集

---

十、Wireshark 快速筛选技巧

# 按协议筛选
modbus
s7comm
iec104
dnp3
cip
opcua

# 按端口筛选
tcp.port == 502
tcp.port == 102
tcp.port == 2404
udp.port == 20000

# 组合筛选（控制命令）
tcp.port == 502 && modbus.func_code == 6
tcp.dstport == 102 && s7comm

---

十一、Modbus 功能码速查

常见功能码

功能码	名称	方向
0x01	读线圈	客户端→服务器
0x02	读离散输入	客户端→服务器
0x03	读保持寄存器	客户端→服务器
0x04	读输入寄存器	客户端→服务器
0x05	写单个线圈	客户端→服务器
0x06	写单个寄存器	客户端→服务器
0x0F	写多个线圈	客户端→服务器
0x10	写多个寄存器	客户端→服务器

要点

1. 关注写操作（功能码 0x05, 0x06, 0x0F, 0x10）

   • 读操作一般不是答案
   • 写操作才是控制命令

2. 数据包方向

   • 客户端 → 服务器：控制命令
   • 服务器 → 客户端：响应

3. 值的含义

   • 不要凭经验判断
   • 按时间顺序 + 题目描述 来判断

---

十二、实战建议

1. 流量包分析步骤

第1步：初步观察
├── Statistics → Protocol Hierarchy（协议统计）
├── Statistics → Conversations（会话统计）
└── 查看端口通信频率

第2步：筛选关键数据
├── 按端口筛选常见工控端口
├── 按协议筛选（modbus、s7comm等）
└── 关注写操作（功能码 0x05/0x06/0x0F/0x10）

第3步：定位关键包
├── 按时间排序
├── 对比前后状态变化
└── 结合题目描述判断

2. 异常模式识别

异常类型	特征
恶意控制	短时间内大量写命令
非法访问	陌生IP发送控制命令
异时操作	非正常工作时间有控制命令
状态翻转	设备状态频繁切换

---

十三、Python 解析示例

# 筛选 Modbus 写命令
def find_modbus_writes(packets):
    writes = []
    for pkt in packets:
        if pkt.get('dst_port') == 502:  # 或 8011
            payload = pkt.get('payload', [])
            if len(payload) >= 2:
                func_code = payload[1]
                if func_code in [0x05, 0x06, 0x0F, 0x10]:
                    writes.append(pkt)
    return writes