抓包工具使用和数字化变电站报文分析.pdfVIP

网络抓包工具的使用和数字化变电站报文分析 GOOSE （Generic Object-Oriented Substation Event ）是一种面向通用对象的 变电站事件。主要用于实现在多个智能电子设备(IED)之间的信息传递，包括传 输跳合闸、联闭锁等多种信号（命令），具有高传输成功概率。SV (Sampled Value) 即采样值，它基于发布／订阅机制，交换采样数据集中的采样值的相关模型对象 和服务。MMS （Manufacturing Message Specification ）即制造报文规范就是 ISO/IEC9506 标准所定义的一套用于工业控制系统的通信协议。国际标准化组织 出台MMS 的目的是为了规范工业领域具有通信能力的智能传感器、智能电子设 备（IED ）、智能控制设备的通信行为，使出自不同制造商的设备之间具有互操 作性，使系统集成变得简单、方便。在国外，MMS 技术广泛用于工业过程控制、 工业机器人等领域。 1 抓包工具的使用 1.1 抓包工具 常用的抓包工具有 Windows 下的 mms-ethereal 和 WireShark 。mms-ethereal 可以自动解释mms 报文，适合进行应 用层报文的分析。WireShark 是 ethereal 的替代版本，界面更加友好，但标准版 本中没有对mms 报文分析的支持。 1.2 抓包方法 对于SV 或GOOSE 报文可以直接将装置的发送端（光口）接到光电转换器 光口（或是既有光口又有电口的交换机的光口）上，将笔记本用网线与光电转换 器的电口（或是既有光口又有电口的交换机的电口）相连，打开抓包软件即可抓 包。 对于后台与装置之间的 TCP 通讯，有两种方法。一是直接在后台机上安装 软件来抓包，二是利用HUB 连接后台与装置，将笔记本接到HUB 上抓包。注 意一定要使用HUB ，不能使用交换机。 WireShark 和mms-ethereal 均是图形化的界面，使用起来比较简单，注意选 择正确的网卡即可。 1.3 分析举例 均以mms-ethereal 为例，WireShark 与之类似。 1.3.1 Ethereal 安装 使用 Ethereal 会用到 WinPcap 函式库，在安装 Ethereal 前需要首先安装 WinPcap 。程序包中已包含 WinPcap_4_ 1_2.exe,首次使用时先运行该程序安装 WinPcap 。 Ethereal 运行界面如图2-1 所示。 图2-1 Ethereal 运行界面 1.3.2 简易抓包教程 简易的抓包操作按照以下步骤操作即可。 点击工具栏中“capture ”，选择“Options ”进行如下配置 （也可以直接点击 左边第二个按钮）： 上图为典型配置，设置完成后单击“Start”开始报文抓捕。选择Start，即开始报 文抓捕，但需要注意，Start 选项执行的前提是已经进行了抓捕设置（主要是选 择了待监视网卡），否则执行Start 会弹出出错提示。 各选项意义如下： Options ： Interface: 用于选择待抓捕报文的网卡，当计算机具有多个活动网卡时，需 要选择其中一个用来发送或接收分组的网络接口，下方的IP address 会对应显示 所选网卡所设置的IP 地址； Link-layer header type:数据链路层的协议，在以太网中一般是 Ethernet II ； Buffer size:数据缓存大小设定，默认是 1M 字节； Capture packets in promiscuous mode: 是否打开混杂模式。假如打开，抓取任 何的数据包。一般情况下只需要监听本机收到或发出的包，因此应该关闭这个选 项； Limit each packet to: 限制每个包的大小，缺省情况不限制； Capture Filter: 用于设置抓捕过滤规则，如果要捕获特定的报文，那在抓包 前就要对应设置过滤规则，决定数据包的类型；设置过滤规则有两种途径：选择 capture filter，手工创建的模板，也可以直接在 c