[發明專利]一種基于插樁的基本塊粒度下工控協議語法逆向分析方法

在審

• 申請號: 202110024995.5
• 申請日: 2021-01-08
• 公開（公告）號: CN112905184A
• 公開（公告）日: 2021-06-04
• 發明（設計）人: 程鵬;謝一松;汪慕峰;劉可;周劼英;郭志民;張偉劍;呂卓
• 申請（專利權）人: 浙江大學;國網河南省電力公司電力科學研究院;國家電網有限公司
• 主分類號: G06F8/41
• 分類號: G06F8/41
• 代理公司: 杭州求是專利事務所有限公司 33200
• 代理人: 劉靜

1.一種基于插樁的基本塊粒度下工控協議語法逆向分析方法，其特征在于，包括以下步驟：

S1：對工控協議的二進制可執行程序進行插樁，獲取指令及函數粒度的運行時信息，將網絡接收函數接收的協議報文數據標記為污點源數據；記錄污點源數據及后續污點數據的污點狀態信息，在程序運行過程中，依據污點傳播規則，追蹤污點數據在內存和寄存器中的傳播情況，獲取協議報文數據和程序上下文的關系。

S2：對函數粒度進行插樁，獲取函數名稱、函數進入和退出信息；對基本塊粒度進行插樁，獲取基本塊入口地址和長度信息；對指令粒度的邏輯判斷和條件跳轉相關匯編指令進行插樁，用于標記邏輯邊界。

S3：依據S1和S2設計的插樁方法，記錄程序運行時上下文信息，形成格式化日志文件。

S4：對日志文件進行預處理，剔除網絡接收函數不相關線程日志，并依據地址數據進行函數日志、基本塊日志、指令日志的重排序。

S5：對預處理后日志文件進行分析，以邏輯判斷和條件跳轉指令為邏輯邊界劃分依據，將日志中記錄的基本塊序列劃分為多個邏輯塊，構建邏輯塊和協議報文數據的關聯關系，依據關聯關系進行協議報文字段邊界的劃分，從而完成語法判別。

2.根據權利要求1所述的基于插樁的基本塊粒度下工控協議語法逆向分析方法，其特征在于，所述步驟S1具體包括：

S11：對工控協議的二進制可執行程序進行插樁，具體使用程序插樁框架Pin進行指令粒度和函數粒度的插樁。

S12：對于函數粒度使用回調函數識別函數名稱，進行Linux x86-64操作系統標準庫網絡接收函數recv、recvfrom、recvmsg的判斷，并將其接收的工控協議報文數據標記為污點源數據。

S13：對污點源數據和后續傳播的污點數據記錄污點狀態信息，包括污點數據對應的工控協議報文數據中字節偏移地址、數據長度、數據移位情況、數據是否被標記為污點狀態。

S14：對于指令粒度使用回調函數識別指令的操作符和操作數，對于mov，add，or和移位指令，識別指令的操作數，如果操作數中存在污點數據，則更新污點數據信息。

S15：對于使用污點數據為操作數的指令，使用回調函數在日志文件中記錄其匯編指令、操作數、污點數據信息。

3.根據權利要求1所述的基于插樁的基本塊粒度下工控協議語法逆向分析方法，其特征在于，所述步驟S2具體包括：

S21：在函數進入和退出時進行函數名稱、函數狀態、線程ID、起始地址、結束地址和返回地址的記錄；

S22：在跳轉至新基本塊時，進行基本塊入口地址、基本塊占用字節長度、線程ID信息的記錄；

S23：針對每一條執行的指令進行字節碼的反匯編，若指令為cmp、test或條件跳轉相關指令，進行匯編指令、線程ID、指令長度信息的記錄。

4.根據權利要求1所述的基于插樁的基本塊粒度下工控協議語法逆向分析方法，其特征在于，所述步驟S3具體包括：依據S1和S2設計的插樁方法，在程序運行過程中將函數、基本塊和指令粒度日志有序記錄至txt格式日志文件中。

5.根據權利要求1所述的基于插樁的基本塊粒度下工控協議語法逆向分析方法，其特征在于，所述步驟S4中，對日志文件進行預處理具體包括：剔除沒有出現污點數據的線程ID對應的日志記錄，包括指令、基本塊和函數粒度；剔除系統調用函數的日志記錄。

6.根據權利要求1所述的基于插樁的基本塊粒度下工控協議語法逆向分析方法，其特征在于，所述步驟S4中，對日志進行重排序的具體規則為：函數的進入日志在相關基本塊日志前、基本塊日志在相關指令日志前、函數的退出日志在函數的返回指令日志后；將重排序后的日志記錄輸出到新的日志文件中。