摘要：空间数据系统咨询委员会(CCSDS)标准协议是国际主流的空间天地链路通信协议,面向CCSDS协议的未知协议逆向工程,可以对卫星天地链路中的未知通信流进行行为分析,也有助于发现和分析针对空间站等国际联网实体的攻击。设计了一种CCSDS协议框架下的未知协议逆向工程分析系统,主要包括系统的架构设计和流程设计。针对该流程中未知协议会话报文字段的迭代式进化树聚类所导致的算法开销过大问题,提出了一种基于反馈型动态豫迟因子的仿射传播聚类算法。仿真实验结果表明,该算法相比通常的非权算术平均聚类算法可以有效提高针对未知协议的逆向工程效率。

摘要：在分析基于网络数据的协议逆向工程特点的基础上,将网络协议逆向分析划分为3个阶段:协议数据分类、协议格式解析和协议状态推断。提出从网络数据中进行协议逆向分析的基本技术流程,指出各阶段的任务和具体目标,梳理当前各阶段关键技术的研究现状,对重点的研究成果进行评价,分析其中存在的问题和研究的难点。指出未来基于网络数据分析的协议逆向工程需要进一步研究的热点问题和发展趋势。

摘要：为提高二进制变种协议字段格式划分的准确率,提出一种基于深度学习的方法,能够自动挖掘协议报文序列的深层字段特征完成协议的字段格式划分。引入一种字段列特征数据集的提取方法,在传统的双向长短期记忆条件随机场网络模型的基础上增加协议字段列特征提取模块,搭建一种专门解决二进制变种协议字段格式划分的神经网络PRO-BILSTM-CRF。与二进制未知协议字段格式划分方法以及几种主流网络模型的对比实验结果表明,在变种协议字段格式划分任务上,提出模型能够取得更高准确率。

摘要：工控私有协议的广泛应用给工业控制系统的安全运行带来了很大挑战。由于工控私有协议规范的闭源性,传统的模糊测试工具难以高效地生成测试用例,限制了采用私有工业控制协议的工控设备的模糊测试效率。针对此问题,提出了一种基于私有工控协议逆向的黑盒模糊测试方法。首先,在流量捕获的基础上,采用改进的多序列比对算法与字段划分算法得到协议字段结构;然后,通过定义一系列启发式规则对协议中的常量字段、序列号字段、长度字段、功能码字段进行识别,进而推断协议格式;最后,根据时序及功能码字段构建协议状态机。在模糊测试过程中,根据逆向推断的协议格式,采用多种变异策略生成测试用例,并利用构建的协议状态机指导模糊测试工具与被测设备的深度交互。基于上述方法设计实现了ICPPfuzz工具,并利用真实设备中的3种工控协议(Modbus/TCP,UMAS,S7comm)对ICPPfuzz协议逆向分析能力及模糊测试能力进行了评估。实验结果表明,在协议逆向方面,该工具的字段划分、语义识别和协议状态机构建能力明显强于Netzob;在模糊测试方面,该工具在相同时间内生成的有效测试用例数量为Boofuzz的1.25倍,测试用例的质量以及漏洞发现能力也都优于Boofuzz;同时,在对Modicon TM200/221系列PLC进行测试时,成功发现3个拒绝服务漏洞,证明了该工具的有效性。