[發明專利]一種基于模糊測試的網絡協議自動化分析漏洞挖掘裝置

有效

• 申請號: 202111506440.0
• 申請日: 2021-12-10
• 公開（公告）號: CN114189382B
• 公開（公告）日: 2023-03-07
• 發明（設計）人: 張先國;楊天長;任傳倫;徐軍化;尹譽衡;唐然
• 申請（專利權）人: 中國電子科技集團公司第十五研究所;中電科網絡空間安全研究院有限公司;中國電子科技集團公司第三十研究所
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L43/18;G06V10/762
• 代理公司: 北京豐浩知識產權代理事務所(普通合伙) 11781
• 代理人: 李學康

1.一種基于模糊測試的網絡協議自動化分析漏洞挖掘裝置，其特征在于，將網絡數據流輸入本裝置后，本裝置通過對網絡數據流進行分析，生成包含網絡協議格式的規則樹，以規則樹為導向對測試目標進行模糊測試，將模糊測試結果反饋到規則樹中，實現對測試目標的協議格式遍歷，從而對未知協議格式的網絡協議實現漏洞挖掘；

本裝置包括數據包捕獲模塊、背景流量過濾模塊、流量特征提取模塊、規則樹構造模塊、模糊測試畸形數據生成模塊、流量識別模塊和底層發包模塊，上述七個模塊依次連接；模糊測試畸形數據生成模塊與底層發包模塊相連接；

所述的數據包捕獲模塊，其使用兩種方式來捕獲數據包，一種方式是調用libpcap庫函數對互聯網流量數據進行截包，把截包得到的每個數據包中的五元組信息保存下來，作為原始輸入數據輸入至背景流量過濾模塊，另一種方式是使用wireshark自帶的數據包截獲保存工具，直接對流經網卡的互聯網流量數據進行截包，將截包得到的數據，保存成各種類型的數據包文件；

所述的背景流量過濾模塊，用于對截獲到的數據包進行過濾處理，將不需要的干擾網絡流量去除；背景流量過濾模塊首先獲得網絡流量和進程之間的對應關系，將網絡數據包中對應的五元組信息與對應關系進行對比，保存目標進程中的五元組信息；最后根據保存的五元組信息對截獲到的數據包進行過濾和包重組，形成分析報文；

所述的流量特征提取模塊，用于對兩種流量特征進行提取，根據截獲到的數據包的次序來對相應的分析報文進行分層，把同一層的分析報文進行特征提取；兩種流量特征包括長度特征和包內byte_jump特征，流量特征提取模塊檢查每一層的具有同一五元組信息的分析報文長度是否相同，如果相同則認為該分析報文的長度為長度特征；所述的包內byte_jump特征，指數據包內長度特征的跳轉；

所述的規則樹構造模塊，采用有限狀態自動機來實現，其采用聚類算法將網絡流量進行分類，對屬于同一類的分析報文進行特征提取，按照分析報文的類別的粒度聚類劃分報文層次，在對一層分析報文進行聚類劃分完畢后，聚類劃分下一層分析報文時，在上一層聚類劃分的結果上進行再分配，對一類分析報文所提取的特征，作為一個節點，利用所有類分析報文所提取的特征構成一顆規則樹；

所述的模糊測試畸形數據生成模塊，首先生成符合互聯網通信協議的數據包，生成該符合互聯網通信協議的數據包后，在互聯網通信協議沒有規定的部分生成畸形數據，再利用生成的畸形數據對數據包進行填充，最后將填充后的數據包提交給底層發包模塊，用于進行模糊測試的交互；畸形數據包括：超長字符串，整數溢出字符和格式化字符串；超長字符串用于檢測字符串溢出；由畸形數據構成的模糊測試樣本構成規則樹的節點的模糊測試數據池；

所述的流量識別模塊，使用模式識別算法來進行底層發包模塊提交的數據包中的字符串的模式匹配，根據模式匹配結果確定規則樹中與模式匹配結果相一致的節點，檢查規則樹的本節點的模糊測試數據池是否為空；如果為空，選擇規則樹的下一個節點的特征發送給模糊測試畸形數據生成模塊，來生成畸形數據；如果不為空，再把該節點對應的特征發送給模糊測試畸形數據生成模塊，并生成下一步要發送的畸形數據；

所述的底層發包模塊用于實現網絡客戶端和服務端的數據發送和接收功能，將接收到目標主機發過來的分析報文提供給流量識別模塊，由流量識別模塊確定規則樹中該分析報文相應節點的位置，底層發包模塊接收模糊測試畸形數據生成模塊生成的畸形數據并發送給目標主機，底層發包模塊進行模糊測試。

2.如權利要求1所述的基于模糊測試的網絡協議自動化分析漏洞挖掘裝置，其特征在于，

底層發包模塊的工作具體流程包括：判斷要發送給目標主機的數據包類型；初始化客戶端和服務端信息；發送模糊測試畸形數據生成模塊提交的數據給目標主機；接收對端服務器返回的消息，并將該消息提交給流量識別模塊。

3.如權利要求1所述的基于模糊測試的網絡協議自動化分析漏洞挖掘裝置，其特征在于，

所述的特征提取，是一種提取兩個字符串的最大公共子串的算法，可用于計算兩個字符串的相似度。