[發明專利]一種私有網絡協議迭代逆向分析方法、裝置及服務器

有效

• 申請號: 201810289040.0
• 申請日: 2018-04-03
• 公開（公告）號: CN108632252B
• 公開（公告）日: 2021-02-02
• 發明（設計）人: 李青;于宏毅;張霞;閆小勇;張效義;鄔江興;冉曉旻;胡赟鵬
• 申請（專利權）人: 中國人民解放軍戰略支援部隊信息工程大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王寶筠

1.一種私有網絡協議迭代逆向分析方法，其特征在于，包括：

確定多個目標協議報文；

分別提取各目標協議報文中與報文格式類型相關的信息，生成多個樣本文件；

運用聚類算法，將各樣本文件分類，且一樣本文件分類對應一格式類型；

確定各格式類型的樣本文件的報文格式特征，得到各格式類型的報文格式特征，一格式類型的報文格式特征指示該格式類型的樣本文件在預定位置字節存儲預定字節信息；

匯總所述各格式類型的報文格式特征，篩選得到基于所述樣本文件得到的多個目標報文格式特征；

根據所述多個目標報文格式特征，對各樣本文件進行分類，以將與同一所述目標報文格式特征匹配成功的樣本文件分為一類；

若存在未匹配成功的樣本文件，計算已匹配成功的樣本文件的數量與樣本文件總量的比值，得到當前的匹配覆蓋率；

計算所述當前的匹配覆蓋率與上一次的匹配覆蓋率之差，得到當前的匹配覆蓋率差值，其中，首次匹配后所得匹配覆蓋率記為該次匹配后的所述匹配覆蓋率差值；

判定所述當前的匹配覆蓋率差值是否大于增幅限值，所述增幅限值表征所述匹配覆蓋率差值的最小值；

若所述當前的匹配覆蓋率差值大于所述增幅限值，重復的根據基于未匹配成功的樣本文件得到的多個目標報文格式特征，對所述未匹配成功的樣本文件進行分類，直至重新計算的當前匹配覆蓋率差值大于所述增幅限值；

若所述當前的匹配覆蓋率差值不大于所述增幅限值，則匯總并篩選歷次迭代得到的目標報文格式特征，得到格式特征集；

根據所述格式特征集中的多個目標報文格式特征，對各樣本文件進行分類，以將與所述格式特征集中同一目標報文格式特征匹配成功的樣本文件分為一類。

2.根據權利要求1所述私有網絡協議迭代逆向分析方法，其特征在于，所述確定多個目標協議報文，包括：

將目標協議數據包拆分為多個獨立的報文；

剔除無效報文和類型已知的報文；

將剩余的多個報文分別作為目標協議報文。

3.根據權利要求1所述私有網絡協議迭代逆向分析方法，其特征在于，所述分別提取各目標協議報文中與報文格式類型相關的信息，生成多個樣本文件，包括：

提取每個所述目標協議報文自首字節起預設數量的字節內容，將所得預設數量的字節內容存儲為樣本文件。

4.根據權利要求1所述私有網絡協議迭代逆向分析方法，其特征在于，所述確定各格式類型的樣本文件的報文格式特征，包括：

分別求取各格式類型樣本文件的頻繁k項集；

分別保留各格式類型樣本文件的頻繁k項集中存在相等關系的多個頻繁k項集中的一項；

分別刪除各格式類型樣本文件的頻繁k項集中存在包含關系的多個頻繁k項集中的子集；

分別將各格式類型樣本文件剩余的頻繁k項集建立組合，并分別將所述組合對應的設置為各格式類型樣本文件的報文格式特征。

5.根據權利要求4所述私有網絡協議迭代逆向分析方法，其特征在于，所述篩選得到基于所述樣本文件得到的多個目標報文格式特征，包括：

刪除所述報文格式特征中特征元素少于預設限值的頻繁k項集；

保留所述報文格式特征中存在相等關系的多個頻繁k項集中的一項；

刪除所述報文格式特征中存在包含關系的多個頻繁k項集中的超集；

合并所述報文格式特征中存在交叉關系的多個頻繁k項集的非交叉頻繁項為一頻繁k項集；

將最終保留的多個頻繁k項集分別設置為目標報文格式特征。

6.根據權利要求1所述私有網絡協議迭代逆向分析方法，其特征在于，所述根據所述多個目標報文格式特征，對各樣本文件進行分類，包括：

將每個樣本文件分別與各所述目標報文格式特征進行匹配；

若判定當前進行匹配的樣本文件與一所述目標報文格式特征匹配成功，則將當前進行匹配的樣本文件劃分至與該所述目標報文格式特征對應的類別。