作者：Nonattack

1、概述

UMAS (Unified Messaging Application Services) 统一消息传递应用程序服务，它是用于交换应用程序数据的平台独立协议，通信数据使用标准的Modbus协议。Modbus是Modicon公司在1979年开发的基于消息结构的协议，最早是为Modicon公司的PLC中使用，后为施耐德电气公司所有。Modbus协议是现今使用的最早和应用最广泛的工业控制系统协议之一，主要是用于和现场控制器通信的应用层协议，共有三种工作模式：Modbus/ASCII，Modbus/RTU，和Modbus/TCP。

Modbus协议标准是公开的，其众多功能码早已广为人知，在此不做赘述。但其标准文档中也提到了一些未公开、且为占用状态的功能码，90功能码（0x5A）即为其中一个，UMAS协议即为90功能码的Modbus。

UMAS协议为施耐德电气私有的、用于对其PLC产品进行配置和监控等操作，通过查阅，发现未有相关详细描述文档，因此，本文的主要目的即是对UMAS进行基本研究和归纳，不当之处望指正。UMAS协议的基本结构如下图所示：

2、UMAS协议功能码

UMAS协议即为0x5A功能码的Modbus协议，其通信数据在Wireshark中的识别情况如下图：

功能码全部显示为Unity(Schneider)(90)，那么，UMAS有功能码吗？进一步观察Data部分，在Wireshark中其隶属于Modbus部分且未能被详细解析，而恰好此部分即为UMAS所特有的，本节内容所讨论的UMAS功能码并非Modbus协议中的功能码，而是指UMAS特有部分中的功能码，其与PLC的各种配置，包括：PLC读、写、运行/停止、数据上传/下载等操作密切相关。

UMAS协议功能码的梳理与总结，源于对相关DLL文件的分析和对与PLC通信数据分析总结而来，测试中使用了Schneider M340 PLC，在没有PLC的情况下，可使用上位机软件Unity Pro XL(后来软件更名为EcoStruxure Control Expert)自带的仿真器代替PLC进行通信。

安装Unity Pro软件后，通过对特定DLL文件进行分析，可以发现逆向源码中即对协议的名称描述即为UMAS，相关的对PLC特定操作亦可以快速定位到：

结合代码分析和通信数据，UMAS相关功能码和基本含义总结如下：

UMAS功能码

序号

功能码

含义

1

0x01

INIT_COMM

建立UMAS通信

2

0x02

READ_ID

请求PLC ID

3

0x03

READ_PROJECT_INFO

读取PLC中工程信息

4

0x04

READ_PLC_INFO

读取PLC内部信息

5

0x06

READ_CARD_INFO

读取PLC SD卡信息

6

0x0A

REPEAT

回传发送给PLC的数据

7

0x10

TAKE_PLC_RESERVATION

独占PLC

8

0x11

RELEASE_PLC_RESERVATION

释放PLC

9

0x12

KEEP_ALIVE

保持连接

10

0x20

READ_MEMORY_BLOCK

准备读取PLC内存块

11

0x22

READ_VARIABLES

以bit/word方式读系统变量

12

0x23

WRITE_VARIABLES

以bit/word方式写系统变量

13

0x24

READ_COILS_REGISTERS

读PLC的线圈/寄存器值

14

0x25

WRITE_COILS_REGISTERS

写PLC的线圈/寄存器值

15

0x26

ENABLE/DISABLE DATA DICTIONARY

启用/关闭数据字典功能

16

0x30

INITIALIZE_UPLOAD

初始化数据上传（From PLC）

17

0x31

UPLOAD_BLOCK

上传PLC数据

18

0x32

END_STRATEGY_UPLOAD

完成数据上传

19

0x33

INITIALIZE_DOWNLOAD

初始化数据下装（To PLC）

20

0x34

DOWNLOAD_BLOCK

下载数据到PLC

21

0x35

END_DOWNLOAD

完成数据下载

22

0x36

CREATE/RESTORE/REMOVE BACKUP

创建/恢复/删除内存卡中的数据备份

23

0x39

READ_ETH_MASTER_DATA

Read Ethernet Master Data

24

0x40

START_PLC

运行PLC

25

0x41

STOP_PLC

停止PLC

26

0x50

MONITOR_PLC

监视PLC变量

27

0x58

CHECK_PLC

检查PLC连接状态

28

0x70

READ_IO_OBJECT

读IO目标

29

0x71

WRITE_IO_OBJECT

写IO目标

30

0x73

GET_STATUS_MODULE

获取状态模块

3、UMAS协议数据分析

使用Unity Pro连接M340 PLC进行一些列操作，抓取通信过程数据，可对功能码进行对照分析。对于UMAS协议，有一点需要明确的是它是一种应/答式的通信协议：包含某种功能码的数据发送到PLC，PLC对请求解析后按照固定格式回应数据。UMAS的请求与响应数据基本格式如下所示：

请求：

[ TCP Packet ] – [ Modbus Header ] – [5A] – [ UMAS CODE (16 bit) ] [ UMAS PAYLOAD (Variable) ]

响应：

[ TCP Packet ] – [ Modbus Header ] – [5A] – [ RETURN CODE (16 bit) ] [ UMAS PAYLOAD (Variable) ]

[RETURN CODE]即为状态码部分，存在两种可能性：0x01 0xFE–意味着OK；

0x01 0xFD–意味着Error。

功能码0x01：建立通信，抓取的实际建立通信的数据将为：

响应数据包为：

功能码0x03：读取PLC中工程信息，抓取的实际建立通信的数据将为：

响应数据包为：

响应数据包的基本格式为：

[ TCP Packet ] – [ Modbus Header ] – [5A] – [ Response Code (16) ] – [ Unknown (9 bytes) ] – [ Unknown 2 (9 bytes) ] –

[ Modification date (8 bytes) ] – [ Modification date Rep (8 bytes) ] – [ Project Version (16) ] – [ Unknown (16) ] –

[ Project Name length (8) – [ Project name (variable) ]

状态码之后连续两个9字节数据意义不明确，df 07按照小端数据换算过来即为2015，即工程修改时间为2015年；工程版本为0.0.01

功能码0x40/0x41：启动/停止PLC

启动PLC的请求数据为：

UMAS CODE部分为00 40，不同情况下使用01 40亦可以启动PLC运行（与PLC固件版本相关）。

相应的停止PLC的UMAS CODE部分为00 41或01 41均可。尝试对Schneider M340 PLC发送启/停数据包，验证数据格式及功能的可行性，如下所示:PLC被停止后，其run灯变为闪烁状态（并非熄灭）：

结合对UMAS功能码的理解，尝试编写数据解析插件并对数据包解析，可得到如下效果：

请求数据包：

回复数据包：

4、总结

本文基于对施耐德组态软件Unity Pro的关键DLL分析和对上位机与PLC通信数据分析，梳理总结了UMAS协议基本功能码，同时尝试编写Wireshark解析插件以方便数据包分析，验证了插件的可用性和数据的正确性。

参考资料：

[1] https://modbus.org/docs/Modbus_Application_Protocol_V1_1b3.pdf

[2] https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/vulnerabilities-in-schneider-electric-somachine-and-m221-plc/

[3] https://www.lshack.cn/827/

[4] https://www.cnblogs.com/zzqcn/p/4840589.html