[發明專利]工控漏洞挖掘方法及裝置

有效

• 申請號: 202011232689.2
• 申請日: 2020-11-06
• 公開（公告）號: CN112398839B
• 公開（公告）日: 2021-11-30
• 發明（設計）人: 孫利民;白雙朋;宋站威;孫玉硯;朱紅松
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;G06F21/57
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 陳新生

1.一種工控漏洞挖掘方法，其特征在于，包括：

基于待分析數據包集合獲取典型報文列表；

所述基于待分析數據包集合獲取典型報文列表，具體包括：

對待分析數據包集合中的報文進行相似性計算，篩選出典型數據包；每個典型數據包對應一個相似報文列表；

根據所述典型數據包構建典型報文列表；所述典型報文列表包括不少于一個典型數據包；

基于所述典型報文列表獲取種子列表；

所述基于所述典型報文列表獲取種子列表，具體包括：

在所述典型報文列表中，刪除相似報文數量小于預設閾值的典型數據包及所述典型數據包對應的相似報文列表，獲取刪減后的典型報文列表；

基于所述刪減后的典型報文列表，獲取種子列表；

基于種子列表獲取畸形數據包；

基于所述畸形數據包對目標設備進行漏洞挖掘。

2.根據權利要求1所述的工控漏洞挖掘方法，其特征在于，所述基于種子列表獲取畸形數據包，具體包括：

獲取所述種子列表中每個報文對應的發送報文；

對所述發送報文進行變異處理，獲取畸形數據包。

3.根據權利要求1所述的工控漏洞挖掘方法，其特征在于，所述基于所述畸形數據包對目標設備進行漏洞挖掘，具體包括：

向目標設備發送畸形數據包，判斷所述目標設備是否崩潰；

若所述目標設備已崩潰，根據所述畸形數據包對目標設備進行漏洞挖掘的驗證。

4.根據權利要求1所述的工控漏洞挖掘方法，其特征在于，所述基于所述刪減后的典型報文列表，獲取種子列表，具體包括：

提取所述刪減后的典型報文列表中的每個典型數據包對應的相似報文列表中相似性最小的回復報文；

基于所述刪減后的典型報文列表中的每條報文和所述回復報文獲取種子列表。

5.根據權利要求3所述的工控漏洞挖掘方法，其特征在于，所述向目標設備發送畸形數據包，判斷所述目標設備是否崩潰，具體包括：

向所述目標設備發送畸形數據包；

若未收到所述目標設備對所述畸形數據包的響應包，則向所述目標設備發送探測數據包；

若未收到所述目標設備對所述探測數據包的響應包，則判斷所述目標設備已崩潰。

6.一種工控漏洞挖掘裝置，其特征在于，包括：

第一獲取模塊，用于基于待分析數據包集合獲取典型報文列表；

所述基于待分析數據包集合獲取典型報文列表，具體包括：

對待分析數據包集合中的報文進行相似性計算，篩選出典型數據包；每個典型數據包對應一個相似報文列表；

根據所述典型數據包構建典型報文列表；所述典型報文列表包括不少于一個典型數據包；

第二獲取模塊，用于基于所述典型報文列表獲取種子列表；所述基于所述典型報文列表獲取種子列表，具體包括：

在所述典型報文列表中，刪除相似報文數量小于預設閾值的典型數據包及所述典型數據包對應的相似報文列表，獲取刪減后的典型報文列表；

基于所述刪減后的典型報文列表，獲取種子列表；

第三獲取模塊，用于基于種子列表獲取畸形數據包；

漏洞挖掘模塊，用于基于所述畸形數據包對目標設備進行漏洞挖掘。

7.一種電子設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執行所述程序時實現如權利要求1至5任一項所述工控漏洞挖掘方法的步驟。

8.一種非暫態計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，該計算機程序被處理器執行時實現如權利要求1至5任一項所述工控漏洞挖掘方法的步驟。