[發明專利]基于執行軌跡的語義級協議格式推斷方法

有效

• 申請號: 201310146876.2
• 申請日: 2013-04-24
• 公開（公告）號: CN103200203A
• 公開（公告）日: 2013-07-10
• 發明（設計）人: 洪征;吳禮發;潘璠;周振吉;賴海光;鄭成輝
• 申請（專利權）人: 中國人民解放軍理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/70
• 代理公司: 南京瑞弘專利商標事務所(普通合伙) 32249
• 代理人: 陳建和

1.基于執行軌跡的語義級協議格式推斷方法，其特征在于依據報文解析時產生的二進制指令執行軌跡，推斷報文所采用的協議格式，包括以下步驟：

首先是中間語言轉換，將協議實體程序解析通信報文的指令執行軌跡轉換為中間語言的形式；

其次是細粒度動態污點分析，以中間語言形式的執行軌跡為基礎，采用細粒度的動態污點分析，分析協議實體程序解析報文的過程，掌握作為輸入的每一個報文字節隨程序指令的執行在系統中的傳播和影響；

最后是語義級的協議格式推斷，基于語義級協議解析階段的特征，將作為解析指令參數的連續污點數據映射為報文協議域，進而獲取完整的協議報文格式；

所述中間語言轉換階段的工作流程：將執行軌跡中的二進制指令逐條按序轉換為精簡的、語義等價的中間語言指令，生成基于中間語言的抽象執行軌跡；

所述細粒度動態污點分析階段的工作流程：首先是構建細粒度動態污點分析策略：對中間語言指令集進行系統分析，掌握指令的執行語義；在此基礎上，以分析規則的形式，描述由于指令執行造成內存、寄存器等存儲空間內存儲數據的變化以及與輸入字節的關聯關系；

實際的細粒度動態污點分析過程：為每個輸入的報文字節賦予唯一的污點標簽，依據細粒度動態污點分析策略對中間語言形式的執行軌跡進行分析，掌握作為輸入的每個報文字節在系統中隨指令的執行對內存、寄存器等存儲空間造成的影響；

所述語義級的協議格式推斷階段的工作流程：語義是協議域數據的含義，協議域語義分為靜態語義和動態語義兩類；靜態語義描述了該協議域的取值與報文詞法、語法之間應滿足的約束，包括長度、分隔符、格式標識；動態語義描述了協議實體如何完成響應操作，網絡地址、端口、Cookie都屬于常見的動態語義。在語義級協議解析階段，協議實體程序將對輸入數據的語義進行解釋和處理；程序解析動態語義采用的方式是以輸入數據作為參數，通過函數調用完成；解析靜態語義采用的方式是將輸入數據作為分支跳轉類指令的判定條件；在實施過程中，基于語義級協議解析階段的特點，以細粒度動態污點分析為基礎，分析與語義解析緊密相關的分支跳轉類指令和函數調用類指令，將與指令參數相關的連續輸入識別為完整的協議域。

2.根據權利要求1所述的基于執行軌跡的語義級協議格式推斷方法，其特征在于所述語義級的協議格式推斷階段的實施基礎：協議實體程序解析動態語義采用的方式是以輸入數據作為參數，通過函數調用完成；解析靜態語義采用的方式是將輸入數據作為分支跳轉類指令的判定條件。

3.根據權利要求1所述的基于執行軌跡的語義級協議格式推斷方法，其特征在于在所述語義級的協議格式推斷階段中，從動態語義的解析角度，分析函數調用的參數，參數所涉及的連續輸入被確定為一個完整協議域；以BIL語言作為用于分析的中間語言時，在協議格式推斷過程中直接利用BIL中間語言的函數調用信息，如果函數調用的參數與輸入數據的污點標簽相關，則將污點標簽對應的輸入字節進行合并，視為一個完整的協議域；從靜態語義的解析角度，分析中間語言的跳轉類指令，如果作為跳轉條件的表達式依賴于報文輸入，則依據污點標簽將相應的連續輸入合并，視為一個完整的協議域；以BIL語言作為用于分析的中間語言時，與靜態語義解析相關的主要是IF指令和GOTO指令，如果作為這兩類指令跳轉條件的表達式依賴于報文輸入，則將污點標簽對應的輸入字節合并，視為完整的協議域。