用Wireshark抓包实战：一步步拆解Modbus TCP数据帧（附报文实例）

用Wireshark拆解Modbus TCP协议：从抓包到实战解析

当你第一次在Wireshark中看到Modbus TCP通信数据时，那些十六进制字节流可能像天书一样难以理解。但别担心，这正是我们今天要破解的密码。想象一下，你面前有一台工业PLC正在与控制端通信，每个数据包都承载着关键的控制指令和状态信息。通过Wireshark这个"网络显微镜"，我们不仅能观察这些通信过程，还能深入每个字节，理解它们背后的含义。

1. 环境准备与基础配置

在开始抓包之前，我们需要搭建一个适合分析的环境。不同于普通的网络协议分析，Modbus TCP通常运行在工业控制网络或专用测试环境中。

首先确保你已安装最新版Wireshark（建议3.6以上版本），它会自动识别Modbus TCP协议并做初步解析。如果你使用的是Linux系统，可能需要额外配置抓包权限：

sudo usermod -a -G wireshark $USER sudo reboot

对于测试环境，你有几种选择：

• 真实PLC设备（如西门子S7-1200、施耐德Modicon等）
• 模拟器软件（如Modbus Slave、QModMaster）
• 开发板（如树莓派+RS485扩展板）

提示：如果使用真实设备，请确保操作不会影响正在运行的生产系统，最好在隔离的测试网络中进行。

Wireshark的基础过滤规则设置对高效分析至关重要。针对Modbus TCP，建议使用以下显示过滤器：

tcp.port == 502 || modbus

这个组合会显示所有通过502端口（Modbus TCP标准端口）的通信以及Wireshark识别出的Modbus协议数据。

2. Modbus TCP协议框架解析

让我们先理解Modbus TCP协议的基本结构。与传统的串行Modbus（RTU/ASCII）不同，Modbus TCP在应用层协议数据单元（PDU）前添加了7字节的MBAP头，形成应用数据单元（ADU）。

2.1 MBAP头部详解

MBAP（Modbus Application Protocol Header）包含四个关键字段：

在Wireshark抓包中，你可以看到类似这样的MBAP头：

0000 00 01 00 00 00 06 01

这表示：

• 事务ID：0x0001
• 协议ID：0x0000
• 数据长度：0x0006（后面6字节）
• 设备地址：0x01

2.2 PDU结构剖析

PDU（Protocol Data Unit）是Modbus协议的核心，由功能码和具体数据组成。功能码决定了后续数据的格式和含义。常见功能码包括：

• 0x01：读线圈
• 0x03：读保持寄存器
• 0x10：写多个保持寄存器

每个功能码都有特定的请求/响应格式。例如，读保持寄存器（0x03）的请求PDU包含：

功能码(1B) | 起始地址(2B) | 寄存器数量(2B)

而响应PDU则包含：

功能码(1B) | 字节计数(1B) | 寄存器值(nB)

3. 实战抓包分析：典型功能码解析

现在让我们通过实际案例来理解这些抽象概念。假设我们有一个温度控制系统，主站（IP:192.168.1.100）正在从从站（IP:192.168.1.101）读取温度值。

3.1 读保持寄存器（功能码0x03）

在Wireshark中捕获到的请求报文可能如下：

0000 00 15 00 00 00 06 01 03 00 64 00 01

拆解分析：

• MBAP头：
  • 事务ID：0x0015
  • 协议ID：0x0000
  • 长度：0x0006
  • 单元ID：0x01
• PDU：
  • 功能码：0x03（读保持寄存器）
  • 起始地址：0x0064（十进制100）
  • 寄存器数量：0x0001（读1个寄存器）

对应的响应报文可能是：

0000 00 15 00 00 00 05 01 03 02 01 2C

解析：

• MBAP头：
  • 事务ID：0x0015（与请求匹配）
  • 协议ID：0x0000
  • 长度：0x0005
  • 单元ID：0x01
• PDU：
  • 功能码：0x03
  • 字节计数：0x02（2字节数据）
  • 寄存器值：0x012C（十进制300，表示30.0°C）

3.2 写多个保持寄存器（功能码0x10）

这是一个设置目标温度的例子。请求报文：

0000 00 16 00 00 00 09 01 10 00 65 00 01 02 01 2D

逐字节分析：

• MBAP头：
  • 事务ID：0x0016
  • 长度：0x0009
  • 单元ID：0x01
• PDU：
  • 功能码：0x10
  • 起始地址：0x0065（十进制101）
  • 寄存器数量：0x0001
  • 字节计数：0x02
  • 数据：0x012D（十进制301，表示30.1°C）

成功响应应该包含：

0000 00 16 00 00 00 06 01 10 00 65 00 01

这确认了写入操作成功，包含了原始请求中的地址和数量信息。

4. 高级分析与故障排查

掌握了基础解析后，我们可以利用Wireshark的高级功能进行更深入的分析。

4.1 异常响应解析

Modbus异常响应会在功能码最高位设置1（即原功能码+0x80），并附加异常码。例如，尝试读取不存在的寄存器可能收到：

0000 00 15 00 00 00 03 01 83 02

这里：

• 功能码：0x83（0x03+0x80）
• 异常码：0x02（非法数据地址）

常见异常码包括：

• 0x01：非法功能
• 0x02：非法数据地址
• 0x03：非法数据值

4.2 统计与趋势分析

Wireshark的统计功能可以帮助分析通信质量：

1. 通过"Statistics" → "Conversations"查看TCP会话
2. 使用IO Graphs分析通信频率
3. 检查"Expert Info"识别潜在问题

对于长期监控，可以结合tshark命令行工具记录关键指标：

tshark -i eth0 -f "tcp port 502" -T fields -e frame.time -e ip.src -e modbus.func_code -e modbus.reference_num -E header=y -E separator=, > modbus_log.csv

4.3 性能优化建议

通过抓包分析，我们可以发现一些优化机会：

• 合并读取请求（适当增加每次读取的寄存器数量）
• 调整轮询频率避免网络拥塞
• 检查TCP重传情况优化网络质量

例如，对比以下两种读取方式：

• 方式A：分10次读取，每次1个寄存器
• 方式B：1次读取10个寄存器

方式B能显著减少协议开销，这在Wireshark中可以清晰看到报文数量的差异。

5. 安全分析与防护措施

虽然本文不涉及具体安全技术实现，但通过协议分析我们可以理解一些基本的安全考量：

1. 明文传输风险：Modbus TCP默认不加密，所有数据明文传输
2. 缺乏认证机制：任何知道设备IP的主机都可以发送控制命令
3. 拒绝服务风险：大量异常请求可能影响设备响应

在Wireshark中，我们可以观察到这些潜在风险的迹象，如来自异常IP的请求、异常功能码尝试等。基础防护建议包括：

• 使用网络分段隔离关键设备
• 部署防火墙限制访问IP
• 考虑采用Modbus Secure等增强协议

6. 扩展应用场景

掌握了Modbus TCP分析技能后，你可以将其应用于更多场景：

设备集成调试：当新设备无法正常通信时，通过抓包可以快速定位是配置错误还是协议不兼容。

协议逆向工程：遇到非标Modbus设备时，通过分析实际通信数据理解其扩展功能码。

性能瓶颈分析：识别通信延迟是来自网络问题、设备响应慢还是应用层设计缺陷。

教学演示：制作直观的协议分析案例，帮助团队成员理解系统工作原理。

在实际项目中，我曾遇到一个案例：某温度控制器偶尔会返回异常值。通过长时间抓包分析，发现当电磁阀动作时会产生通信干扰，导致个别报文CRC错误。这种问题没有协议分析工具几乎不可能定位。