个人网站备案审批郑州谷歌优化外包

西门子作为一个老牌工控企业，在中国市场拥有很高的市场占有率。如果要说起西门子的通信协议，相信大家多多少少能说出一些，比如MPI、PPI、USS、Profibus、Profinet、S7等，但是西门子在协议的开放性方面要相对要封闭一些，所以我们是没法知道这些协议的底层通信原理的。

本文主要是结合Wireshark抓包工具，跟大家去分享一下，如何抓取西门子S7通信协议底层通信报文的，希望通过报文分析，让大家都能够对西门子S7协议有所了解的同时，也学会基本的抓包操作与报文分析。

一、环境搭建

1、首先我们要准备要准备一个西门子的PLC，并保证PLC与PC之间的网络连接正常。如果手头没有PLC，可以通过PLCSIM-Advanced搭建一个仿真环境。为了抓取到通信的报文，需要实现PC与PLC之间的通信，这里采用KepServer与PLC通信。

西门子博图V17及仿真器安装及注意事项

2、安装Wireshark抓包软件：Wireshark软件安装比较简单，大家可以自行安装。

3、认识S7协议的网络模型：

OSI层	通信协议
第7层：应用层	S7 协议 S7   Communication
第6层：表示层	S7 协议（COTP）
第5层：会话层	S7 协议（TPKT）
第4层：传输层	Transmission Control Protocol
第3层：网络层	IP
第2层：数据链路层	Ethernet
第1层：物理层	Ethernet

4、将KepServer与PLC之间的通信连接配置好：

终于有人把OPC说清楚了

5、将Wireshark软件打开，并处于监控报文状态。

二、报文分析

1、当KepServer启动连接，并开始监控变量时，打开Wireshark软件，观察报文。

2、我们发现西门子的S7通信并不是简简单单的TCP通信，在TCP执行三次握手之后，还需要发送两次连接验证，在两次连接验证之后，才进行真正的数据交互。

西门子PLC通信掌握这几点，效率翻倍

3、三次握手过程，如下图所示：

4、S7连接第一次验证，如下图所示：

5、S7连接第二次验证，如下图所示：

6、四次挥手过程，如下图所示：

7、S7第一次验证发送报文分析：

TPKT（第五层：会话层）

该层总共占4个字节：

版本号：0x03；

预留：0x00

长度：0x0016

COTP（第六层：表示层）

该层总共占用18个字节：

长度：0x11

PDU类型（CR Connect Request 连接请求）：0x0E

目标引用：0x0000

源引用：0x0001

扩展格式/流控制：0x00

参数代码 TPDU-Size：0xC0

参数长度：0x01

TPDU大小：0x0A

参数代码 SRC-TASP：0xC1

参数长度：0x02

Source TSAP:0x0201

参数代码 DST-TASP：0xC2

参数长度：0x02

Destination TSAP:0x0201

8、S7第一次验证返回报文

TPKT（第五层：会话层）

该层总共占4个字节：

版本号：0x03

预留：0x00

长度：0x0016

COTP（第六层：表示层）

该层总共占18个字节：

长度：0x11

PDU类型（CC Connect Confirm 连接确认）：0x0D

目标引用：0x0001

源引用：0x0006

扩展格式/流控制：0x00

参数代码 TPDU-Size：0xC0

参数长度：0x01

TPDU大小：0x0A

参数代码 SRC-TASP：0xC1

参数长度：0x02

源TSAP Source TSAP:0x0201

参数代码 DST-TASP：0xC2

参数长度：0x02

目标TASP Destination TSAP:0x0201

9、S7第二次验证发送报文

TPKT（第五层：会话层）

该层总共占4个字节：

版本号：0x03

预留：0x00

长度：0x0019

COTP（第六层：表示层）

该层总共占3个字节：

长度：0x02

PDU类型（DT Data）：0xF0

目标引用：0x80

S7 Communication（第七层：应用层）

该层总用占18个字节，并且分两部分：

Header：

协议ID（Protocol ID）：0x32

ROSCTR：0x01

预留：0x0000

协议数据单元引用：0x037C

参数长度：0x0008

数据长度：0x0000

Parameter：

功能码：0xF0

预留：0x00

最大AmQ（Calling）:0x0001

最大AmQ（Called）:0x0001

PDU长度：0x03C0

10、S7第二次验证返回报文

TPKT（第五层：会话层）

该层总共占4个字节：

版本号：0x03

预留：0x00

长度：0x0019

COTP（第六层：表示层）

该层总共占3个字节：

长度：0x02

PDU类型（DT Data）：0xF0

目标引用：0x80

S7 Communication（第七层：应用层）

该层总用占20个字节，并且分两部分：

Header：

协议ID（Protocol ID）：0x32

Ack_Data：0x03

预留：0x0000

协议数据单元引用：0x037C

参数长度：0x0008

数据长度：0x0000

错误等级：0x00

错误代码：0x00

Parameter：

功能码：0xF0

预留：0x00

最大AmQ（Calling）:0x0001

最大AmQ（Called）:0x0001

PDU长度：0x00F0

11、读取发送报文：读取DB1.DBX0.0 开始的4个字节

TPKT（第五层：会话层）

该层总共占4个字节：

版本号：0x03

预留：0x00

长度：0x001F

COTP（第六层：表示层）

该层总共占3个字节：

长度：0x02

PDU类型（DT Data）：0xF0

目标引用：0x80

S7 Communication（第七层：应用层）

该层总用占24个字节，并且分两部分：

Header：

协议ID（Protocol ID）：0x32

Ack_Data：0x01

预留：0x0000

协议数据单元引用：0x037D

参数长度：0x000E

数据长度：0x0000

Parameter：

功能码 Read Var：0x04

通信项数：0x01

通信项1：

通信项Header

变量指定：0x12

地址长度：0x0A

Syntax ID:0x10

传输数据类型 byte：0x02

通信项Param

读取长度：0x04

DB号：0x01

存储区类型 DB存储区：0x84

开始字节：0x000000

12、读取数据返回报文

TPKT（第五层：会话层）

该层总共占4个字节：

版本号：0x03

预留：0x00

长度：0x001D

COTP（第六层：表示层）

该层总共占3个字节：

长度：0x02

PDU类型（DT Data）：0xF0

目标引用：0x80

S7 Communication（第七层：应用层）

该层总用占22个字节，并且分两部分：

Header：

协议ID（Protocol ID）：0x32

Ack_Data：0x03

预留：0x0000

协议数据单元引用：0x037D

参数长度：0x0002

数据长度：0x0008

错误等级：0x00

错误代码：0x00

Parameter：

功能码 Read Var：0x04

通信项数：0x01

通信项1：

返回结果Success：0xFF

传输数据类型 Byte/Word/DWord：0x04

长度：0x0020

数据：0x00000000

整体总结

通过上述S7协议抓包的分析，我们对S7协议应该有了一个初步的认识。

• S7协议不是一个开放的协议，因此没有完整的协议文档，本文只是通过抓包的方式来分析和了解报文。

• S7协议整体来说，比一般的协议要稍微复杂一些，如果有精力可以通过抓包分析报文之后，然后手搓一个通信库。

• 从我个人的角度来说，我是不建议初学者花很多时间去研究S7协议，因为目前市面上已经有很多免费开源的S7通信库，比如S7NetPlus、Sharp7等。