工控协议逆向（ICS/SCADA）

何时使用 / 何时不用

• 用：拿到工控（ICS/SCADA）流量（pcap / 实时抓包）需要解析 Modbus / DNP3 / OPC UA 语义
• 用：从流量重建 PLC/RTU 的点表（线圈/寄存器/对象映射）
• 用：工控设备（PLC/HMI/RTU）固件与通信分析（配合 [[re-firmware]]）
• 用：授权范围内的 ICS 安全测试（见步骤 5 边界）
• 不用：流量是密文/带加密层（先 [[re-crypto-id]] → [[re-crypto-keys]] → [[re-crypto-decrypt]]）
• 不用：非工控自定义协议（那是 [[re-proto-rev]]）
• 不用：只需要抓包（那是 [[re-netcap]]）

工具准备

所有工具先验证再使用。ICS 分析红线：只测授权系统、默认隔离网络（[[re-analyze/platform-tips]] 最高原则）——测试环境严禁接生产 OT 网络（见步骤 5）。

wireshark / tshark —— ICS 解析器主力（modbus/dnp3/opcua dissector 内置）