[發明專利]固件文件的分析方法、設備及存儲介質

有效

• 申請號: 202010553678.8
• 申請日: 2020-06-17
• 公開（公告）號: CN111782511B
• 公開（公告）日: 2022-12-09
• 發明（設計）人: 于飛鴻;黃元飛;王博;林星辰;夏劍鋒;馬坤;朱利軍;趙培源;童小敏;彭麗
• 申請（專利權）人: 國家計算機網絡與信息安全管理中心;西安四葉草信息技術有限公司
• 主分類號: G06F11/36
• 分類號: G06F11/36
• 代理公司: 北京挺立專利事務所(普通合伙) 11265
• 代理人: 彭豆

1.一種固件文件的分析方法，其特征在于，所述方法包括：

獲取固件文件；

調用識別插件對所述固件文件進行識別，從所述固件文件中提取根文件系統鏡像，并獲取所述根文件系統鏡像的文件類型；

在所述根文件系統鏡像的文件類型為可解包格式時，調用與所述根文件系統鏡像的文件類型對應的解包插件對所述根文件系統鏡像進行解包，并調用與所述根文件系統鏡像的文件類型對應的分析插件對所述已解包的根文件系統鏡像進行分析；

在所述根文件系統鏡像的文件類型為可分析的文件類型時，調用與所述根文件系統鏡像的文件類型對應的分析插件對所述根文件系統鏡像進行分析；

所述調用識別插件對所述固件文件進行識別，從所述固件文件中提取根文件系統鏡像，并獲取所述根文件系統鏡像的文件類型包括：

調用第一識別插件對所述固件文件的頭部信息進行識別，得到識別結果；

在識別結果指示所述固件文件的頭部信息包含所述根文件系統鏡像的位置信息以及所述根文件系統鏡像的魔數magic number時，根據所述根文件系統鏡像的位置信息從所述固件文件中提取所述根文件系統鏡像，并根據所述根文件系統鏡像的magic number確定所述根文件系統鏡像的文件類型；

所述方法還包括：

在所述識別結果指示所述固件文件的頭部信息僅包含所述根文件系統鏡像的位置信息時，根據所述根文件系統鏡像的位置信息從所述固件文件中提取所述根文件系統鏡像；

調用所述第一識別插件對所述根文件系統鏡像的文件頭magic number進行識別，獲取所述根文件系統鏡像的文件類型。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：

在所述識別結果指示所述固件文件的頭部信息僅包含所述根文件系統鏡像的magicnumber時，根據所述根文件系統鏡像的magic number確定所述根文件系統鏡像的文件類型；

調用第二識別插件按照與所述根文件系統鏡像的文件類型對應掃描規則對所述固件文件進行識別，獲取所述根文件系統鏡像的文件格式特征碼，所述文件格式特征碼包括開始特征碼和結束特征碼；

根據所述根文件系統鏡像的文件格式特征碼，確定所述根文件系統鏡像在所述固件文件中的起始位置，并根據所述起始位置提取所述根文件系統鏡像。

3.根據權利要求1所述的方法，其特征在于，所述方法還包括：

在所述識別結果指示所述固件文件的頭部信息未包含所述根文件系統鏡像的文件類型及所述根文件系統鏡像的位置信息時，調用第二識別插件利用掃描規則列表中的掃描規則依次對所述固件文件進行識別，直至獲取所述根文件系統鏡像的文件格式特征碼，所述文件格式特征碼包括開始特征碼和結束特征碼；

根據所述文件格式特征碼，確定所述根文件系統鏡像在所述固件文件中的起始位置，并根據所述起始位置提取所述根文件系統鏡像；

將獲取到根文件系統鏡像的文件格式特征碼的掃描規則對應的文件類型確定為所述根文件系統鏡像的文件類型。

4.根據權利要求2或3所述的方法，其特征在于，所述獲取所述根文件系統鏡像的文件格式特征碼包括：

在所述第二識別插件對所述固件文件識別得到所述根文件系統鏡像的開始特征碼時，將所述開始特征碼相鄰位置的字節碼作為測試字節碼；

檢測所述開始特征碼與所述測試字節碼之間的數據是否可按照掃描規則對應的解壓縮算法進行解壓縮；

若驗證成功，則將所述測試字節碼確定為結束特征碼；

若驗證失敗，則取所述測試字節碼下一個位置的字節碼作為測試字節碼，直至驗證成功為止。

5.根據權利要求2或3所述的方法，其特征在于，所述第一識別插件采用采用python的magic模塊編寫，所述第二識別插件采用python的yara模塊編寫。