[發(fā)明專(zhuān)利]針對(duì)網(wǎng)絡(luò)協(xié)議的漏洞挖掘系統(tǒng)和方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201010271811.7
• 申請(qǐng)日: 2010-09-02
• 公開(kāi)（公告）號(hào): CN102075508A
• 公開(kāi)（公告）日: 2011-05-25
• 發(fā)明（設(shè)計(jì)）人: 劉業(yè)欣
• 申請(qǐng)（專(zhuān)利權(quán)）人: 北京神州綠盟信息安全科技股份有限公司
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06
• 代理公司: 中國(guó)專(zhuān)利代理(香港)有限公司 72001
• 代理人: 謝建云;劉鵬

技術(shù)領(lǐng)域

本發(fā)明涉及計(jì)算機(jī)網(wǎng)絡(luò)安全領(lǐng)域，尤其涉及對(duì)網(wǎng)絡(luò)協(xié)議的漏洞進(jìn)行挖掘的漏洞挖掘系統(tǒng)和方法。

背景技術(shù)

針對(duì)網(wǎng)絡(luò)協(xié)議的漏洞挖掘技術(shù)是計(jì)算機(jī)網(wǎng)絡(luò)安全領(lǐng)域的基礎(chǔ)技術(shù)。對(duì)網(wǎng)絡(luò)協(xié)議進(jìn)行漏洞挖掘通常是指對(duì)用于解析和處理網(wǎng)絡(luò)協(xié)議的應(yīng)用的漏洞挖掘。目前主要采用模糊(Fuzzing)測(cè)試技術(shù)來(lái)進(jìn)行漏洞挖掘。具體而言，模糊測(cè)試通過(guò)構(gòu)造大量的畸形輸入數(shù)據(jù)，并將所構(gòu)造的畸形輸入數(shù)據(jù)輸入到作為測(cè)試目標(biāo)的應(yīng)用中以檢測(cè)測(cè)試目標(biāo)是否能夠正確處理畸形輸入數(shù)據(jù)，從而可以觸發(fā)并發(fā)現(xiàn)測(cè)試目標(biāo)中存在的未知漏洞。

目前，基于模糊測(cè)試技術(shù)的漏洞挖掘技術(shù)主要有以下幾種方式：以SPIKE(http://www.immunitysec.com/resources-freesoftware.shtml)為代表的技術(shù)，其在了解網(wǎng)絡(luò)協(xié)議格式和交互流程的前提下構(gòu)造畸形的協(xié)議報(bào)文；以beSTORM(http://www.beyondsecurity.com/black-box-testing.html)為代表的技術(shù)，其對(duì)未知的網(wǎng)絡(luò)協(xié)議有自學(xué)習(xí)功能，并且可以對(duì)學(xué)習(xí)內(nèi)容做人工修正，然后根據(jù)自學(xué)寫(xiě)的格式來(lái)構(gòu)造畸形的協(xié)議報(bào)文；以zzuf(http://caca.zoy.org/wiki/zzuf)和ProxyFuzz為代表的技術(shù)，其使用中間人方式對(duì)未知的網(wǎng)絡(luò)協(xié)議報(bào)文進(jìn)行捕獲，在原始報(bào)文數(shù)據(jù)的基礎(chǔ)上構(gòu)造畸形的協(xié)議報(bào)文；以及以catchconv(http://catchconv.pbworks.com)為代表的技術(shù)，其基于二進(jìn)制的符號(hào)執(zhí)行求解導(dǎo)致安全問(wèn)題的畸形數(shù)據(jù)。

但是現(xiàn)有的這些網(wǎng)絡(luò)協(xié)議漏洞挖掘技術(shù)均存在一些缺點(diǎn)。例如以SPIKE為代表的技術(shù)需要把網(wǎng)絡(luò)協(xié)議搞清楚才能進(jìn)行漏洞挖掘，由于在多數(shù)情況下應(yīng)用層的網(wǎng)絡(luò)協(xié)議都有其非常復(fù)雜的格式和交互流程，因此對(duì)未知協(xié)議分析工作的難度較大，前期消耗的時(shí)間較多。甚至某種未知的網(wǎng)絡(luò)協(xié)議是某一個(gè)程序獨(dú)有的私有協(xié)議，協(xié)議分析工作的代價(jià)與回報(bào)不成比例。

這些網(wǎng)絡(luò)協(xié)議漏洞挖掘方式還存在效率低下的問(wèn)題，例如當(dāng)測(cè)試目標(biāo)由于觸發(fā)漏洞而發(fā)生異常崩潰時(shí)，測(cè)試不能繼續(xù)進(jìn)行，必須進(jìn)行人為干預(yù)，無(wú)法做到自動(dòng)化地完成整個(gè)測(cè)試過(guò)程，從而導(dǎo)致測(cè)試效率低下。由于涉及網(wǎng)絡(luò)協(xié)議的測(cè)試通常會(huì)涉及多個(gè)應(yīng)用，因此效率問(wèn)題更加嚴(yán)重。

此外，諸如zzuf和ProxyFuzz之類(lèi)的中間人方式的測(cè)試技術(shù)還存在中間人模式單一，很難適用于對(duì)所有的網(wǎng)絡(luò)應(yīng)用程序進(jìn)行測(cè)試的問(wèn)題，例如zzuf是對(duì)網(wǎng)絡(luò)接口函數(shù)進(jìn)行攔截的中間人網(wǎng)絡(luò)協(xié)議漏洞挖掘技術(shù)，其中通過(guò)對(duì)操作系統(tǒng)中諸如accept()、bind()、connect()、socket()、recv()、recvfrom()和recvmsg()等等socket相關(guān)函數(shù)以及read()、readv()、pread()和aio_read()等對(duì)網(wǎng)絡(luò)進(jìn)行操作的文件相關(guān)函數(shù)進(jìn)行攔截，就可以捕獲到網(wǎng)絡(luò)應(yīng)用程序的網(wǎng)絡(luò)通信數(shù)據(jù)。由于zzuf需要和服務(wù)端或者客戶(hù)端緊密結(jié)合，因此zzuf通常只能對(duì)服務(wù)端或者客戶(hù)端之一進(jìn)行測(cè)試，通常而言，zzuf更適合對(duì)客戶(hù)端的應(yīng)用程序進(jìn)行網(wǎng)絡(luò)協(xié)議的漏洞挖掘。

ProxyFuzz工具為利用TCP和UDP端口轉(zhuǎn)發(fā)來(lái)進(jìn)行的中間人網(wǎng)絡(luò)協(xié)議漏洞挖掘技術(shù)。然而，利用TCP和UDP端口轉(zhuǎn)發(fā)技術(shù)無(wú)法捕獲到固定IP地址進(jìn)行通訊的應(yīng)用程序的網(wǎng)絡(luò)通訊數(shù)據(jù)，因此無(wú)法適用于廣泛的網(wǎng)絡(luò)協(xié)議應(yīng)用。

因此，可以看出現(xiàn)有的網(wǎng)絡(luò)協(xié)議漏洞挖掘技術(shù)無(wú)法對(duì)未知網(wǎng)絡(luò)協(xié)議進(jìn)行快速且自動(dòng)化的漏洞挖掘，在本領(lǐng)域需要一種可以在不對(duì)未知網(wǎng)絡(luò)協(xié)議做分析的情況下就進(jìn)行全面自動(dòng)化漏洞挖掘、并且適用于大部分網(wǎng)絡(luò)應(yīng)用的漏洞挖掘技術(shù)。

發(fā)明內(nèi)容

鑒于上述問(wèn)題，提出了本發(fā)明以便提供一種克服上述問(wèn)題或者至少部分地解決上述問(wèn)題的針對(duì)網(wǎng)絡(luò)協(xié)議的漏洞挖掘系統(tǒng)和漏洞挖掘方法。