用五行 Python 代码嗅探 Modbus 流量（以及为何这应让你的运营技术团队感到担忧）

2026西湖龙井茶官网DTC发售：茶农直供，政府溯源防伪到农户家 

⚠️ 仅用于防御/教育目的。 仅嗅探您拥有或已明确授权测试的网络。在大多数司法管辖区，未经授权的网络监控是非法的。

关于您工厂车间的令人不安的真相

如果您的工厂使用 Modbus TCP（从统计概率上看，很可能正在使用），那么每一次寄存器读取、每一次线圈写入、每一个传感器值都在您的网络上以明文形式传输。没有加密。没有身份验证。没有签名。什么都没有。

Modbus 协议由莫迪康（Modicon）公司于 1979 年设计，用于可编程逻辑控制器（PLC）与专用电缆上的少数现场设备之间的串行通信。当时的威胁模型是“有人可能会物理窃听线路。”解决方案是“不让陌生人进入控制室。”

四十五年后，同样的协议正运行在您的企业虚拟局域网（VLAN）上，与云端历史数据库通信，并且如果您的信息技术（IT）与运营技术（OT）网络隔离存在漏洞，它偶尔甚至可以从互联网访问。

让我向您展示从线路上看这是什么样子的。

五行代码的嗅探器

这是一个防御性监控工具。与您的蓝队用于基线化正常流量和检测异常所使用的代码相同。需要安装 scapy 库：

pip install scapy

from scapy.all import sniff, TCP, Raw

def show_modbus(pkt):
    if TCP in pkt and pkt[TCP].dport == 502 and Raw in pkt:
        payload = pkt[Raw].load
        print(f"{pkt['IP'].src} → {pkt['IP'].dst}: {payload.hex()}")

sniff(filter="tcp port 502", prn=show_modbus, store=False)

在端口镜像（SPAN Port）、流量分析器（TA