[發明專利]一種基于OSPF協議的自動化安全測試方法

有效

• 申請號: 202010430916.6
• 申請日: 2020-05-20
• 公開（公告）號: CN111614518B
• 公開（公告）日: 2021-08-31
• 發明（設計）人: 泰彬彬;李炳彰;賈哲;張海鋒
• 申請（專利權）人: 中國電子科技集團公司第五十四研究所
• 主分類號: H04L12/26
• 分類號: H04L12/26
• 代理公司: 河北東尚律師事務所 13124
• 代理人: 王文慶

1.一種基于OSPF協議的自動化安全測試方法，其特征在于，應用于聯網的雙網卡設備，包括以下步驟：

（1）判斷兩網卡能否接收到網絡中路由器所發送的OSPF組播報文，若兩個網卡均能收到OSPF組播報文，則轉入步驟（2），若只有一個網卡能收到OSPF組播報文，則轉入步驟（3）；

（2）將兩塊網卡連接成網橋，并將網卡本身的IP地址刪除，設置網卡為混雜模式，利用無IP地址的網橋透明轉發所有通過的數據包；同時，截獲數據包中的數據報文，并監控網絡中路由器的狀態，在相應時機進行指定次數的最大年齡測試、序列號測試、DD報文測試和路由表篡改測試，然后轉到步驟（4）；

（3）生成一臺虛擬OSPF路由器，通過虛擬路由器與網絡中的路由器進行正常的OSPF協議交互以及數據包的正常接發；同時，截獲數據包中的數據報文，并監控網絡中路由器的狀態，在相應時機進行指定次數的最大年齡測試和序列號測試，然后轉到步驟（4）；

（4）生成測試報告，所述測試報告中包括被測路由器的ID、各項測試的測試次數以及每次測試的結果；

其中，步驟（2）和（3）的最大年齡測試的時機為路由器周期性地進行連接狀態詢問時，測試方式為，將截獲的正常OSPF協議LSU報文中的年齡字段修改為0XFF，然后將修改后的報文發送出去，若造成路由器鏈路重置并使通信異常產生丟包，則表明目標路由器存在安全缺陷；

步驟（2）和（3）的序列號測試的時機為路由器周期性地進行連接狀態詢問時，測試方式為，將截獲的正常OSPF協議LSU報文中的序列號字段修改為0X7FFFFFFF，然后將修改后的報文發送出去，若造成路由器鏈路重置并使通信異常產生丟包，則表明目標路由器存在安全缺陷；

步驟（2）的DD報文測試的時機為路由收斂并更新DD數據庫時，測試方式為，將截獲的正常OSPF協議DD報文中的LSA字段修改為隨機構造的偽字段，然后將修改后的報文發送出去，若造成目標路由器CPU使用率大幅上升從而影響其他業務運行，則表明目標路由器存在安全缺陷；

步驟（2）的路由表篡改測試的時機為新路由接入或有路由器退出網絡造成路由表更新時，測試方式為，將截獲的正常OSPF協議LSU報文中的TransitID字段修改為偽造的網段，然后將修改后的報文發送出去，若造成目標路由器路由表產生變化，影響到路由器的數據轉發路徑，則表明目標路由器存在安全缺陷。

2.根據權利要求1所述的一種基于OSPF協議的自動化安全測試方法，其特征在于，所述雙網卡設備中預先存有最大年齡測試、序列號測試、DD報文測試和路由表篡改測試的報文模板，其中，最大年齡測試的報文模板為正常OSPF協議中LSU報文的格式，序列號測試的報文模板為正常OSPF協議中LSU報文的格式，DD報文測試的報文模板為正常OSPF協議中DD報文的格式，路由表篡改測試的報文模板為正常OSPF協議中LSU報文的格式；

在執行步驟（2）之前先執行如下步驟：

（before-2）初始化最大年齡測試、序列號測試、DD報文測試和路由表篡改測試的報文模板，將最大年齡測試報文模板中的年齡字段設定為0XFF，將序列號測試報文模板中的序列號字段設定為0X7FFFFFFF，將DD報文測試報文模板中的LSA字段設定為隨機構造的偽字段，將路由表篡改測試報文模板中的TransitID字段設定為偽造的網段；

在執行步驟（2）時，通過從截獲的相應數據報文中提取信息并填入到初始化后的相應報文模板中，來生成相應的修改后報文；

在執行步驟（3）之前先執行如下步驟：

（before-3）初始化最大年齡測試和序列號測試，將最大年齡測試報文模板中的年齡字段設定為0XFF，將序列號測試報文模板中的序列號字段設定為0X7FFFFFFF；

在執行步驟（3）時，通過從截獲的相應數據報文中提取信息并填入到初始化后的相應報文模板中，來生成相應的修改后報文。