SiemensPPI串口通讯协议分析.docx

资源描述

SiemensPPI串口通讯协议分析.docx

《SiemensPPI串口通讯协议分析.docx》由会员分享，可在线阅读，更多相关《SiemensPPI串口通讯协议分析.docx（9页珍藏版）》请在冰点文库上搜索。

SiemensPPI串口通讯协议分析.docx

SiemensPPI串口通讯协议分析

Siemens-PPI-串口通讯协议分析

出有关指令的报文和通讯方式；然后，直接通过串口向PLC发送报文，以验证这些指令报文是否正确。

本着这一思想，我们采用以下步骤获得这些报文。

首先你

这个英文的串口监控软件，英文不好的网友可以用金山快译翻译一下，你必须使用这个软件，因为我先前使用过很多的监控软件，在收发数据很多的情况下都有死机现象，造成数据丢失，容易给我们错误分析。

接下来你先打开这个软件，新建、选择端口COM1,然后再将PC/PPI编程电缆接在COM1上，这样，Step7Micro/Win发给PLC的报文就可以在监视软件上完全裸露的展现在你的面前了。

我们按S7-200系统手册设置好串口参数：

9600，8，E偶校验，1位停止位。

然后设置好Step7软件，使之能与S7-200CPU正常通讯。

从Step7软件中发出一个明确指令，监视软件就能显示这条报文了（用16进制显示，ASCII码的只能看到几个版本号之类的，其他都没有意义）。

我们的破解策略就是通过软件监视的方法，分析PLC内部固有的PPI通讯协议，然后上位机采用VB编程，遵循PPI通讯协议，读写PLC数据，实现人机操作任务。

这种通讯方法，与一般的自由通讯协议相比，省略了PLC的通讯程序编写，只需编写上位机的通讯程序资源。

S7-200的编程口物理层为RS-485结构，SIEMENS提供MicroWin软件，采用的是PPI（PointtoPoint）协议，关于232串口转485你可以采用我们网站开发研制的自制PPI电缆，效果倍好哦！

还是自己动手，丰衣足食啊！

不能光说不练啊！

下面我们就说说西门子PLC到底是怎么通讯的。

PC与PLC采用主从方式通讯，PC按如下文的格式发读写指令，PLC作出接收正确的响应（返回应答数据E5H或F9H见下文分析），上位机接到此响应则发出确认命令（10025C5E16），PLC再返回给上位机相应数据。

一般上位机要连接PLC就要先发送如下寻呼数据100200494B16同志们呐！

我们可都是有血、有肉、有思想、有灵感的高级动物啊，面对这么多枯燥、无味、复杂、混乱的机器数字你怎么记呢？

反正我是记不住啊！

（^_^开始洗脑）这时你可以闭上眼睛，安静、静、再静。

。

想一想战争时期的战地对讲机通话模式，那么这个指令（100200494B16）就可以理解为：

00呼叫02，听到请回答。

现在我们来简单的分析一下这个指令的具体含义：

10起始符02是上位机要联系的下位机的地址站号，就是要找的人00就是上位级本身自己的站号49寻呼指令16终止符其中4B为校验码，是这样得来的：

02+00+49的最后两位就是校验码，这就是所说的偶校验或称和校验也称余校验，因为取的是余数。

计算器在16进制计算时公式（02+00+49）mod100得出的数就是校验码，你计算一下是不是等于4B啊！

其他的所有PPI协议校验都是如此。

假如02站号的PLC收到寻呼信号那么会回答：

100002000216意思是：

报告00，02收到，请指示这样的解释是不是很好理解啊！

你有更好的解释吗？

接下来呢，找到了要寻呼的人PC上位机，就是司令啦！

就可以发号施令了，发号施令后PLC正确接收后就会发送E5字符，意思是：

“02洞两明白”。

其实啊，说到这里PLC只说他明白，他已经明白了上位机PC的指示，但并没有执行命令，那么要怎么他才执行命令呢？

就是上位机PC发出确认命令后才执行。

这时上位机会发出确认指令（10025C5E16），意思是：

“请立即执行”。

然后PLC就干他应当干的工作了！

原来PLC也不容易啊，怪不得叫下位机呢！

说了这么多乱不乱呐？

目的就是要理清上下级关系、主从关系，指令的顺序，用一个好的记忆方法记住枯燥无味的机器码。

下面我们列表分析读取PLC密码的指令：

681B1B6802006C320100000000000E00000401120A100200080000030005E0D216

读命令分析：

一次读一条数据

SDLELERSDDASAFCDASPSSAPDUFCSED

SD:

（StartDelimiter）开始定界符（68H）

LE:

（Length）报文数据长度

LER:

（RepeatedLength）重复数据长度

SD:

（StartDelimiter）开始定界符（68H）

SA:

（SourceAddress）目标地址，指该地址的值，就是PLC的地址

DA:

（DestinationAddress）本地地址，指该地址的指针，就是上位机自己的地址

FC:

（FunctionCode）功能码，5CH为交替周期触发，6CH为首次信息周期触发，7CH为交替周期触发。

DSAP:

（DestinationServiceAccessPoint）目的服务存取点

SSAP:

（SourceServiceAccessPoint）源服务存取点

DU:

（DataUnit）数据单元

FCS:

（FrameCheckSequence）校验码

ED:

（EndDelimiter）结束分界符（16H）

报文数据长度和重复数据长度为自DA至DU的数据长度，校验码为DA至DU数据的和校验，只取其中的末字节值关于这个校验码的计算方法同上面说明。

在读写PLC的变量数据中，读数据的功能码为6CH，写数据的功能码为7CH。

对于一次读取一个数据，读命令都是33个字节。

前面的0—21字节是相同的，为

LER

开始符

长度

开始符

站号

源地址

功能码

协议识别

远程控制

冗余识别

协议数据

单元参考

参数长度

数据长度

04读05写

变量地址数

读取PLC密码的指令：

681B1B6802006C320100000000000E00000401120A100200080000030005E0D216

FCS

读取长度

数据个数

存储器类型

偏移量

校验码

结束符

因为是PC上发的读PLC数据的命令，SA=00，DA=02，如果有多个站，DA要改成相应的站号。

读命令中从DA到DU的长度为1B即27个字节。

从22字节开始根据读取数据的类型、位置不同而不同。

上表是读不同存储器命令的Byte22—32。

字节

功能

读取长度

数据个数

存储器类型

偏移量

校验码

结束符

读Q0.1

读M0.0

读M0.1

读SMB34

读VB100

读VW100

读VD100

读I0.5

读I0.7

上表读命令的Byte22-32从表中我们可以得出以下结果：

Byte22读取数据的长度

01：

1Bit02：

1Byte

04：

1Word06：

DoubleWord

Byte24数据个数,这里是01，一次读多个数据时见下面的说明。

Byte26存储器类型，01：

V存储器00：

其它

Byte27存储器类型

04：

S05：

SM06：

AI07：

AQ1E:

81：

I82：

Q83：

M84：

V1F:

Byte28,29,30存储器偏移量指针（存储器地址*8），如：

VB100，存储器地址为100，偏移量指针为800,转换成16进制就是320H,则Byte28—29这三个字节就是：

000320。

Byte31校验和，前面已说到这是从（DA+SA+DSAP+SSAP+DU）Mod256。

一次读多条数据

对于一次读多个数据的情况，前21Byte与上面相似只是长度LD，LDr及Byte14不同：

Byte14数据块占位字节，它指明数据块占用的字节数。

与数据块数量有关，长度=4+数据块数*10,如：

一条数据时为4+10=0E（H）；同时读M,V,Q三个不同的数据块时为4+3*10=22（H）。

Byte22总是02即以Byte为单位。

Byte24以字节为单位，连续读取的字节数。

如读2个VD则Byte24=8

Byte19---30按上述一次读一个数据的格式依次列出，

Byte31---42另一类型的数据，也是按上述格式给出。

以此类推，一次最多读取222个字节的数据。

写命令分析：

一次写一个DoubleWord类型的数据，写命令是40个字节，其余为38个字节。

写一个DoubleWord类型的数据，前面的0—21字节为：

开始符

长度

开始符

6823236802006C320100000000000E00000401120A10

写一个其它类型的数据，前面的0—21字节为：

（与上面比较，只是长度字节发生变化）

6821216802006C320100000000000E00000401120A10

数据长度

数据个数

存储类型

偏移量

数据形式

数据位数

写入值

校验码

终止符

从22字节开始根据写入数据的值和位置不同而变化。

上表是几个写命令的Byte22—40。

字节22232425262728293031323334353637383940

写入位置及值长度个数类型偏移量位数值、校验码、结束符

M0.0=10100010000820000000003000101007116

M0.0=00100010000830000000003000100007016

M0.1=10100010000830000010003000101007216

vb100=10020001000184000320000400081000AE16

vb100=FF02000100018400032000040008FF009D16

VW100=FFFF04000100018400032000040010FFFFA616

VD100=FFFFFFFF06000100018400032000040020FFFFFFFFB816

写命令的Byte22—最后，经分析我们可以得出以下结果：

Byte22--Byte30写入数据的长度、存储器类型、存储器偏移量与读命令相同。

T，C等不能用写命令写入。

Byte32如果写入的是位数据这一字节为03，其它则为04

Byte34写入数据的位数

01:

1Bit08:

1Byte10H:

1Word20H:

1DoubleWord

Byte35--40值、校验码、结束符

如果写入的是位、字节数据，Byte35就是写入的值，Byte36=00，Byte37=检验码，Byte38=16H，结束。

如果写个的是字数据（双字节），Byte35,Byte36就是写入的值，Byte37=检验码，Byte38=16H，结束。

如果写个的是双字数据（四字节），Byte35—38就是写入的值，Byte39=检验码，Byte40=16H，结束。

看完上面的指令分析我们现在就举例几个常用的PPI协议来分析一下：

PC寻呼：

100200494B16

PLC返回：

100002020216

PC发送:

1002005C5E16

PLC返回:

我们先来看看西门子S7－200PLC的读取密码指令：

请用串口软件以16进制发送，端口设置9600；e；8；1

发送:

681B1B6802006C320100000000000E00000401120A100200080000030005E0D216意思：

要求传送（03区）系统存储区05E0位开始的8个字符（这就是8个密码数值）。

如果通讯无误，PLC会返回E5，意思：

已经收到

那么这时上位机再次发送确认执行指令1002005C5E16意思：

请执行命令。

（说到这里打住一下，PLC返回E5指令后上位机PC要在很短的时间内发送确认指令，晚了刚才的指令就无效了具体多长时间我也没测准，反正1、2秒时间是没有问题的。

这也是很多网友问我通讯失败的原因所在）那么这时PLC还就真的乖乖的执行命令，返回如下字符：

681D1D680002083203000000000002000C00000401FF0400409B9802069D9A00767D16

好了，说到这里就此停止，大家看看密码是多少啊！

你如果真正明白了PPI协议就不难找出出密码了，但是这个密码是经过二次加密的，并不是真正的密码，还需要破译，至于密码算法在此不便公开，不过你多做实验一定能得出结果的。

下面再看一个读取PLC版本号的指令：

我们在解密中首先要确定的是PLC的版本号。

就是要看看是老版本还是02版的，也好做出加解密方案。

他的通讯源码是这样的：

681B1B6802007C320100000000000E00000401120A100200140000030000000916

发送完上面数据PLC返回E5.

再次发送确认指令：

1002005C5E16

这时plc的版本号就返回来了。

看下面：

682929680002083203000000000002001800000401FF0400A04350552032323620434E20202020202030323031D716

你看这一段：

4350552032323620434E20202020202030323031就是plc版本号的ASCII码。

用ASC方式显示就会看的更明白上面数据是：

CPUSP226SPCN0201（sp就是空格）0201是版本号。

再一个就是读TD200密码指令：

681B1B6802006C320100000000000E00000401120A10020002000184000050B916（VW10）

写M0指令：

6820206802007C320100000000000E00050501120A1001000100008300000000030001018016

读222位3区（系统区）数据指令：

681B1B6802006C320100000000000E00000401120A100200DE000003000000C316

读取密码保护位指令：

681B1B6802006C320100000000000E00000401120A100200010000030005D8C316

改写密码保护位指令：

（

你来验证是否可行）

6820206802007C320100000000000E00050501120A100800010000030005D80004000804EF16

6820206802007C320100000000000E00050501120A100200010000030005D80003000804E816

全部清除指令：

6821216802007C3207000000240008000C0001120411450100FF0900081619060D0108181EEE16

最后再说一点，通讯中还有关于读取某一块的块代码：

08代表程序块；0A代表数据块；0B代表系统块。

展开阅读全文