[發(fā)明專利]一種高效的協(xié)議客戶端漏洞發(fā)掘方法與系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201810186292.0
• 申請日: 2018-03-07
• 公開（公告）號: CN108337266B
• 公開（公告）日: 2020-08-11
• 發(fā)明（設計）人: 周曉軍;王利明;徐震;陳凱
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京科迪生專利代理有限責任公司 11251
• 代理人: 安麗

1.一種高效的協(xié)議客戶端漏洞發(fā)掘方法，其特征在于，包括：(1)協(xié)議結構識別；(2)測試數(shù)據(jù)包生成；(3)測試引擎；(4)測試代理；(5)測試目標監(jiān)控步驟；

(1)協(xié)議結構識別：對離線數(shù)據(jù)包Pcap文件或者是在線數(shù)據(jù)包進行自動化分析，將數(shù)據(jù)包結構分成四類數(shù)據(jù)域：會話相關數(shù)據(jù)域、數(shù)據(jù)包長度數(shù)據(jù)域、固定不變數(shù)據(jù)域、模糊測試數(shù)據(jù)域；然后基于生物信息學中的基因序列比對算法，對數(shù)據(jù)包結構進行識別，獲得四類數(shù)據(jù)域的長度和數(shù)據(jù)內容，并將數(shù)據(jù)包結構中四類數(shù)據(jù)域的長度和數(shù)據(jù)內容記錄在XML文件之中，作為生成測試數(shù)據(jù)包的規(guī)則，以便對四類數(shù)據(jù)域采取不同的處理方法；

(2)測試數(shù)據(jù)包生成：基于步驟(1)獲得的數(shù)據(jù)包結構，對四類數(shù)據(jù)域采取不同的處理方法，從而生成測試數(shù)據(jù)包；所述不同處理方法如下：(a)會話相關數(shù)據(jù)域，每次測試數(shù)據(jù)包發(fā)送時自動加一；(b)數(shù)據(jù)包長度數(shù)據(jù)域，在測試數(shù)據(jù)包中根據(jù)填充的具體數(shù)據(jù)進行重新計算；(c)固定不變數(shù)據(jù)域，在所有的測試數(shù)據(jù)包中保持不變；(d)模糊測試數(shù)據(jù)域，利用26種變化方法構造填充數(shù)據(jù)；

(3)測試引擎：所述測試引擎是指收到測試數(shù)據(jù)包生成傳遞過來的測試數(shù)據(jù)包，對測試代理和測試目標監(jiān)控進行調用，同時對測試代理和測試目標監(jiān)控提供支持；

(4)測試代理：接受測試引擎部分的調用，并將分析結果傳遞給測試引擎，其作用是發(fā)送測試數(shù)據(jù)包給協(xié)議客戶端，并對日志進行記錄；

(5)測試目標監(jiān)控是實時監(jiān)控協(xié)議客戶端異常結果，在協(xié)議客戶端出現(xiàn)異常時，記錄導致異常的畸形數(shù)據(jù)包，保存引發(fā)協(xié)議客戶端漏洞的配置現(xiàn)場信息，并將信息傳遞給測試引擎；

所述步驟(1)具體實現(xiàn)為：將對離線數(shù)據(jù)包Pcap文件或者是在線數(shù)據(jù)包看成一個一個的報文序列集，首先找出報文的數(shù)據(jù)包長度數(shù)據(jù)域，然后以數(shù)據(jù)包長度數(shù)據(jù)域作為劃分依據(jù)，從而進一步確定另外數(shù)據(jù)域：會話相關數(shù)據(jù)域、固定不變數(shù)據(jù)域、模糊測試數(shù)據(jù)域，具體為：首先基于生物信息學中基因序列比對算法，對所有的數(shù)據(jù)包進行比對分析，獲得固定不變數(shù)據(jù)域；然后對數(shù)據(jù)包進行分組比對分析，獲得會話相關數(shù)據(jù)域；數(shù)據(jù)包結構中剩余部分即為模糊測試數(shù)據(jù)域；

所述基于生物信息學中的基因序列比對算法采用局部比對算法Smith-Waterman算法和全局比對算法Needleman-Wunsch算法，具體過程為：首先利用局部比對算法Smith-Waterman算法對離線數(shù)據(jù)包Pcap文件或者是在線數(shù)據(jù)包進行比對分析，剔除協(xié)議無關的數(shù)據(jù)包，無關的數(shù)據(jù)包包括TCP握手數(shù)據(jù)包、保持心跳的數(shù)據(jù)包，進而得到純凈的數(shù)據(jù)包，然后利用全局比對算法Needleman-Wunsch算法對純凈的數(shù)據(jù)包進行比對分析，從而獲得四類數(shù)據(jù)域的長度和數(shù)據(jù)內容。

2.根據(jù)權利要求1所述的高效的協(xié)議客戶端漏洞發(fā)掘方法，其特征在于：所述步驟(1)中，四類數(shù)據(jù)域的長度和數(shù)據(jù)內容是可變化的。

3.一種高效的協(xié)議客戶端漏洞發(fā)掘系統(tǒng)，其特征在于：包括協(xié)議結構識別部分、測試數(shù)據(jù)包生成部分、測試引擎部分、測試代理部分和測試目標監(jiān)控部分；

所述協(xié)議結構識別部分，基于生物信息學中基因序列比對算法，對離線數(shù)據(jù)包Pcap文件或者是在線數(shù)據(jù)包進行自動化分析，提取數(shù)據(jù)包結構中的常量，標注數(shù)據(jù)包的數(shù)據(jù)區(qū)域，生成協(xié)議結構描述，并逐步完善協(xié)議的語義結構，最終將數(shù)據(jù)包結構分成四類數(shù)據(jù)域：會話相關數(shù)據(jù)域、數(shù)據(jù)包長度數(shù)據(jù)域、固定不變數(shù)據(jù)域、模糊測試數(shù)據(jù)域，并將識別結果導入XML文件中；

所述測試數(shù)據(jù)包生成部分，根據(jù)XML文件的指導，對不同的數(shù)據(jù)域采取不同的處理方法，從而生成測試數(shù)據(jù)包，具體過程：(a)會話相關數(shù)據(jù)域，每次測試數(shù)據(jù)包發(fā)送時自動加一；(b)數(shù)據(jù)包長度數(shù)據(jù)域，在測試數(shù)據(jù)包中根據(jù)填充的具體數(shù)據(jù)進行重新計算；(c)固定不變數(shù)據(jù)域，在所有的測試數(shù)據(jù)包中保持不變；(d)模糊測試數(shù)據(jù)域，利用26種變化方法構造填充數(shù)據(jù)；

所述測試引擎部分，根據(jù)協(xié)議客戶端的不同對測試代理部分和測試目標監(jiān)控部分使用到的程序進行調用，并及時調整調用的策略；

所述測試代理部分，用于測試系統(tǒng)的運行狀態(tài)，實時記錄記錄測試過程日志，并對測試日志進行分析，同時將要使用到的程序反饋給測試引擎部分，由測試引擎進行調用，并將漏洞發(fā)掘系統(tǒng)發(fā)現(xiàn)的異常及時反饋給測試目標監(jiān)控部分；

所述測試目標監(jiān)控部分，是實時監(jiān)控協(xié)議客戶端異常結果，在協(xié)議客戶端出現(xiàn)異常時，記錄導致異常的畸形數(shù)據(jù)包，保存引發(fā)協(xié)議客戶端漏洞的配置現(xiàn)場信息，并將信息傳遞給測試引擎；所述協(xié)議結構識別部分中，所述基于生物信息學中的基因序列比對算法采用局部比對算法Smith-Waterman算法和全局比對算法Needleman-Wunsch算法，具體過程為：首先利用局部比對算法Smith-Waterman算法對離線數(shù)據(jù)包Pcap文件或者是在線數(shù)據(jù)包進行比對分析，剔除協(xié)議無關的數(shù)據(jù)包，無關的數(shù)據(jù)包包括TCP握手數(shù)據(jù)包、保持心跳的數(shù)據(jù)包，進而得到純凈的數(shù)據(jù)包，然后利用全局比對算法Needleman-Wunsch算法對純凈的數(shù)據(jù)包進行比對分析，獲得四類數(shù)據(jù)域的長度和數(shù)據(jù)內容；

所述測試目標監(jiān)控部分中，采用二分查找方法對導致異常的數(shù)據(jù)包進行快速定位，然后根據(jù)觸發(fā)漏洞的數(shù)據(jù)包中模糊測試數(shù)據(jù)域中的數(shù)據(jù)，最終確定待測協(xié)議客戶端的漏洞類型。