[發明專利]一種可破壞硬件木馬的可重構交換機轉發引擎解析器

有效

• 申請號: 201910003982.2
• 申請日: 2019-01-03
• 公開（公告）號: CN109474641B
• 公開（公告）日: 2020-05-12
• 發明（設計）人: 李翔宇;楊芳
• 申請（專利權）人: 清華大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/933
• 代理公司: 北京紀凱知識產權代理有限公司 11245
• 代理人: 徐寧;孫楠

1.一種可破壞硬件木馬的可重構交換機轉發引擎解析器，其特征在于：其包括：數據預處理單元、若干級聯的基本處理單元以及與最后級基本處理單元相連的提取單元；

各級所述基本處理單元結構相同，均包括數據通路和密鑰通路；

所述數據預處理單元用于按照解析器截取的交換機以太網端口輸入的包頭部生成等長的密鑰，并將所述密鑰作為密鑰幀輸出至第一級基本處理單元的密鑰通路，將輸入的包頭部與所述密鑰按位異或后將異或的結果作為數據幀輸出至所述第一級基本處理單元的數據通路；

所述第一級基本處理單元的密鑰通路用于對密鑰幀進行密鑰關鍵字提取和移位，提取的密鑰關鍵字值發送至本級基本處理單元的數據通路，移位后的密鑰值發送至下級基本處理單元的密鑰通路；

所述第一級基本處理單元的數據通路根據本級密鑰通路提取的密鑰關鍵字值，對所述數據幀進行關鍵字段提取和移位，并將提取的字段偏移量發送至本級基本處理單元的密鑰通路以及下一級基本處理單元的密鑰通路和數據通路，移位后的數據幀發送至下一級基本處理單元的數據通路；

其他各級基本處理單元依次對接收到的密鑰幀和數據幀進行字段提取和移位后，輸出到下一級基本處理單元；

所述提取單元根據接收到的密鑰值和關鍵字偏移量，從最后一級基本處理單元的密鑰通路和數據通路中進行密鑰幀和數據幀字段的提取，并轉發至后續包處理部分。

2.如權利要求1所述的一種可破壞硬件木馬的可重構交換機轉發引擎解析器，其特征在于：所述各級基本處理單元中，數據通路包括：數據幀寄存器單元、第一移位器單元、若干第一關鍵字提取單元、查詢匹配單元、PC單元、若干偏移量緩存單元；

所述數據幀寄存器單元的輸入為所述數據預處理單元或前一級基本處理單元發送的數據幀，輸出連接本級所述第一移位器單元；

所述第一移位器單元將本級的協議幀頭部及其載荷向右移動到下一層協議幀的固定起始位置，其輸入為本級所述PC單元輸出的下一層協議幀頭部在當前數據幀中的偏移量、本級數據幀寄存器單元輸出的數據幀，輸出為移位后的新的數據幀；

各所述第一關鍵字提取單元的輸入為前一級基本處理單元中PC單元輸出的關鍵字段偏移量、本級數據幀寄存器單元的待提取的數據幀，輸出為提取出來的固定長度的關鍵字段；

所述查詢匹配單元的輸入為本級各所述第一關鍵字提取單元輸出的固定長度的關鍵字段、本級密鑰通路輸出的密鑰關鍵字值，輸出為與輸入的關鍵字段組合所匹配的模板對應的協議分類和類型信息，如果關鍵字段和任何特征模板都不匹配，則發送非法標識到所述PC單元；

所述PC單元是查表單元，其輸入為本級查詢匹配單元的協議分類和類型信息，輸出為下一級基本處理單元所需要的關鍵字段偏移量、本級封裝幀頭部中的各個字段的偏移量和字段標識以及下一級數據幀的偏移量；當根據本級提取協議下一層協議不需要解析時，應當跳過時，PC單元輸出bypass信號給下一級基本處理單元；當所述查詢匹配單元發送的為非法標識信息時，所述PC單元輸出非法標識給下一級基本處理單元；后續各級所述基本處理單元接收到bypass信號后，把密鑰和數據幀、所述第一關鍵字提取單元的輸入原樣復制到下一級的對應端口上，不再執行其它操作；后續各級所述基本處理單元接收到非法標識信號時，把密鑰和數據幀原樣復制到下一級，不再執行其它操作，同時復制非法標識到后級基本處理單元；

所述偏移量緩存單元的輸入為前一級基本處理單元的偏移量緩存的所有輸出和本級PC單元輸出的本級封裝幀頭部中各個字段的偏移量和字段標識，輸出為存儲的所有字段偏移量和字段標識數據。

3.如權利要求2所述的一種可破壞硬件木馬的可重構交換機轉發引擎解析器，其特征在于：所述第一關鍵字提取單元的數量根據每級基本處理單元對應處理的封裝幀頭部待提取的所有關鍵字總長度和每個所述第一關鍵字提取單元能提取的關鍵字位寬確定。

4.如權利要求2所述的一種可破壞硬件木馬的可重構交換機轉發引擎解析器，其特征在于：所述查詢匹配單元內包含一個匹配查找表，所述匹配查找表中存儲著特征模板與協議信息之間的映射關系，且表項的內容能夠通過表存儲器的對外端口從外部寫入，在進行匹配時，把查詢匹配單元內部存儲的匹配模板與來自本級密鑰通路的密鑰按位異或，然后再進行匹配。