[發明專利]網絡協議自動化逆向分析方法

有效

• 申請號: 201210375831.8
• 申請日: 2012-09-29
• 公開（公告）號: CN103716284A
• 公開（公告）日: 2014-04-09
• 發明（設計）人: 薛一波;王兆國;李城龍
• 申請（專利權）人: 清華大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 韓國勝

1.一種網絡協議自動化逆向分析方法，其特征在于，包括以下步驟：

s1.靜態通信信息提取：

提取C/S端被監視軟件通信載入的信息中的關鍵信息并保存到日志文件；

s2.動態協議追蹤分析：

根據所述關鍵信息設置斷點，通過斷點分析，抓取被監視軟件收發包函數相關的日志信息，分析C/S端通信軟件的網絡協議包的構造和解析過程，并將所得結果保存到日志文件；

s3.信息分析：

分析整理所述日志文件，獲得所需的逆向分析結果。

2.根據權利要求1所述的網絡協議自動化逆向分析方法，其特征在于，步驟s1中的關鍵信息包括域名和IP地址信息。

3.根據權利要求2所述的網絡協議自動化逆向分析方法，其特征在于，所述步驟s1具體包括：

s101.提取被監視軟件的機器碼并保存；

s102.以基于文件流的方式讀取緩存區；

s103.提取域名和IP地址信息并保存到日志文件。

4.根據權利要求1至3任一項所述的網絡協議自動化逆向分析方法，其特征在于：所述日志信息包括與收發包函數相關的內存地址、堆棧數據、寄存器數據、套接字值、收發包數據長度和收發包數據內容。

5.根據權利要求4所述的網絡協議自動化逆向分析方法，其特征在于，所述步驟s2具體包括：

s201.提取被監視軟件發包函數的內存地址，記錄到發包斷點地址寄存器中，并根據地址設置發包函數斷點，開始監控斷點；

s202.遇到斷點后斷下，判斷當前EIP地址與發包函數點地址是否匹配，結果為“是”則結束s2階段，跳轉到s3階段執行步驟s3，為“否”則執行步驟s203；

s203.記錄發包函數的套接字值、發包的數據長度和數據內容并保存至日志文件；

s204.提取收包函數的內存地址，記錄到收包斷點地址寄存器并根據地址設置收包函數斷點，開始監控斷點；

s205.遇到斷點后斷下，判斷當前EIP地址與收包函數斷點地址是否匹配：結果為“是”則結束s2階段，跳轉到s3階段執行步驟s3，為“否”則執行步驟s206；

s206.記錄收包函數的套接字值、收包的數據長度和數據內容并保存至日志文件；

s207.記錄當前網絡數據包構造過程的層次和函數調用順序，保存到日志文件；

s208.設置分析層次，查找調用函數的地址；

s209.判斷查找到的調用函數地址是否在結束機器碼之前且在預設的分析層次之內，結果為“是”則執行步驟s210，為“否”則執行步驟211；

s210.設置網絡數據包解析斷點，并查找下一個調用函數地址，跳轉至s209；

s211.記錄當前跳轉的層次、當前函數調用的順序、當前所有寄存器數據、堆棧數據、EIP地址，并保存到日志文件。

6.根據權利要求5所述的網絡協議自動化逆向分析方法，其特征在于，所述步驟s203具體包括：

套接字值的獲取：通過兩次查找寄存器后得到記錄套接字的內存地址并提取內容；

發包數據長度的獲取：通過兩次查詢得到存儲數據量的內存地址并獲取內容；

發包數據內容的獲取：查找發包在內存中的存儲地址并借助上一步獲得的數據長度獲取內存中的數據內容。

7.根據權利要求5或6所述的網絡協議自動化逆向分析方法，其特征在于，所述步驟s3具體包括：

s301.提取日志文件，逐行分析內容；

s302.解析日志內容，整理每步驟的日志含義；

s303.整理交互過程；

s304.展示網絡協議的協議結構、交互過程、通信信息、流量特征信息。