[發明專利]反彈木馬控制端網絡行為功能重建的方法及系統

有效

• 申請號: 201310408125.3
• 申請日: 2013-09-09
• 公開（公告）號: CN103491077A
• 公開（公告）日: 2014-01-01
• 發明（設計）人: 耿振民
• 申請（專利權）人: 無錫華御信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 上海光華專利事務所 31219
• 代理人: 余明偉

1.一種反彈木馬控制端網絡行為功能重建的方法，其特征在于，包括：

采用靜態語義分析方法對反彈木馬執行程序進行分析，形成完整的反彈木馬匯編代碼；

運行完整的反彈木馬匯編代碼，獲取代碼執行路徑參數，分析和構造所有可能的路徑并在分析過程中獲取反彈木馬執行過程中網絡訪問和網絡函數調用的詳細信息；

根據所述網絡訪問和網絡函數調用的詳細信息生成反彈木馬控制端功能程序片段；

分別執行各路徑，在執行過程中若需要與控制端進行網絡連接，根據所述反彈木馬控制端功能程序片段模擬反彈木馬控制端響應反彈木馬請求；

執行完所有路徑之后，根據模擬的反彈木馬控制端響應反彈木馬請求生成反映反彈木馬控制端網絡行為功能的報告。

2.根據權利要求1所述的反彈木馬控制端網絡行為功能重建的方法，其特征在于，還包括根據所述反彈木馬匯編代碼分析獲取反彈木馬執行程序中的密碼算法和密鑰素材，依據所述密碼算法和所述密鑰素材選擇密鑰交換算法，生成加密密鑰；根據所述生成的加密密鑰、所述網絡訪問和網絡函數調用的詳細信息生成反彈木馬控制端功能程序片段，在模擬反彈木馬控制端響應反彈木馬請求完成加密數據驗證。

3.根據權利要求1所述的反彈木馬控制端網絡行為功能重建的方法，其特征在于，所述靜態語義分析方法為：首選使用遞歸式反匯編算法得到程序匯編代碼，再使用線性掃描算法分析遺留代碼片段，形成完整的反彈木馬匯編代碼。

4.根據權利要求1所述的反彈木馬控制端網絡行為功能重建的方法，其特征在于，靜態語義分析的內容包括根據代碼指令特性、結構特性，還原代碼流程和功能框圖。

5.根據權利要求1所述的反彈木馬控制端網絡行為功能重建的方法，其特征在于，分析所有可能的路徑過程中的操作包括：創建進程快照、約束關系，修改變量以及恢復進程快照，并標記各快照點，記錄各快照點的相關信息；各快照點的相關信息至少包括約束關系、判斷條件、指令內存地址。

6.根據權利要求5所述的反彈木馬控制端網絡行為功能重建的方法，其特征在于，在執行各路徑過程中：

當遍歷到某快照點時，首先判斷此快照點是否為已經遍歷過的快照點，如果是，則不再對此快照點進行所述操作，按照實際路徑繼續執行，如果否，則對此快照點進行所述操作，并構造遍歷此快照點對應的所有可能路徑，分析其網絡行為。

7.根據權利要求1所述的反彈木馬控制端網絡行為功能重建的方法，其特征在于，報告中反映的反彈木馬控制端網絡行為功能包括：名應答，建連響應及認證過程會話。

8.一種反彈木馬控制端網絡行為功能重建的系統，其特征在于，包括：

密盾反匯編分析模塊，采用靜態語義分析方法對反彈木馬執行程序進行分析，形成完整的反彈木馬匯編代碼；

密盾多路徑分析模塊，與密盾反匯編分析模塊相連，運行完整的反彈木馬匯編代碼，獲取代碼執行路徑參數，分析和構造所有可能的路徑并在分析過程中獲取反彈木馬執行過程中網絡訪問和網絡函數調用的詳細信息，同時執行各路徑；

密盾木馬控制端生成模塊，與所述密盾多路徑分析模塊和密盾反匯編分析模塊相連，根據所述網絡訪問和網絡函數調用的詳細信息生成反彈木馬控制端功能程序片段；在密盾多路徑分析模塊執行過程中若需要與控制端進行網絡連接，所述密盾木馬控制端生成模塊所述根據所述反彈木馬控制端功能程序片段模擬反彈木馬控制端響應反彈木馬請求，并在執行完所有路徑之后，所述密盾木馬控制端生成模塊根據模擬的反彈木馬控制端響應反彈木馬請求生成反映反彈木馬控制端網絡行為功能的報告。

9.根據權利要求8所述的反彈木馬控制端網絡行為功能重建的系統，其特征在于，密盾反匯編分析模塊還根據所述反彈木馬匯編代碼分析獲取反彈木馬執行程序中的密碼算法和密鑰素材；所述密盾木馬控制端生成模塊依據所述密碼算法和所述密鑰素材選擇密鑰交換算法，生成加密密鑰；根據所述生成的加密密鑰、所述網絡訪問和網絡函數調用的詳細信息生成反彈木馬控制端功能程序片段，在模擬反彈木馬控制端響應反彈木馬請求完成加密數據驗證。