CN103414708A - 嵌入式设备的协议自动逆向分析的方法及装置 - Google Patents

Abstract

本发明公开了一种嵌入式设备的协议自动逆向分析的方法，包括以下步骤：对消息报文进行聚类分析，找出相同类型的消息报文；对已找出的相同类型的消息报文进行比对，找出消息报文中固定的部分与变化的部分，得到消息报文的格式；对已得到消息报文格式的消息报文序列进行时序分析，设定阈值，并找出时间间隔低于阈值的消息报文，将其关联为一组；使用传感器采集环境数据，对比已关联消息报文中的一组消息报文序列的时间戳，标注语意信息。同时，本发明还公开了一种嵌入式设备的协议自动逆向分析的装置，包括以下模块：消息报文进行聚类分析模块；消息报文的格式获取模块；消息报文关联模块；标注语意信息模块。

Description

嵌入式设备的协议自动逆向分析的方法及装置

技术领域

本发明涉及区域网络与逆向工程技术领域，特别涉及一种嵌入式设备的协议自动逆向分析的方法及装置。

背景技术

随着通信技术、嵌入式设备的日趋成熟，已有多公司推出了面向民用的智能产品。由于部分基于无线局域网标准的协议技术具备结构简单、低功耗、低成本、可靠性高和技术成熟的特点，设备厂商大多选择具上述优点的无线协议技术作为民用设备的无线通信技术。

遗憾的是，由于目前尚无无线嵌入式芯片通用通信协议标准，因此各厂商对自己的设备都使用私有通信协议，不同厂商的设备无法互操作。用户如果采购了不同厂商的民用智能设备，则必须同时使用多个厂商的控制系统。

为了实现对这些设备的集中控制，人们必须了解设备的通信协议。目前，已有大量的工作致力于研究逆向分析网络中的通信协议。已有的方法主要包括两类：通过分析协议消息报文实现对通信协议的分析，以及通过分析二进制程序实现对通信协议的分析。然而，由于传统的报文分析大多关注了解协议结构本身，而忽略了对协议报文消息含义的分析；此外，由于采用无线协议的设备大多为嵌入式设备，二进制程序几乎无法获取，无法通过分析二进制程序实现对通信协议的分析。并且，传统对于民用智能产品消息报文的分析是基于手动截取，人工分析的，自动化程度低。事实上，在民用智能产品的协议逆向分析中，人们更关注如何通过逆向分析实现对异构协议设备的集中控制，因此在这种情况下，分析协议报文消息的含义就显得尤为重要。

发明内容

（一）要解决的技术问题

本发明的目的在于解决传统由于传统的报文分析大多关注了解协议结构本身，而忽略了对协议报文消息含义分析、并且自动化程度不高的问题。

（二）技术方案

本发明采用以下技术方案：

一种嵌入式设备的协议自动逆向分析的方法，包括以下步骤：

1）对消息报文进行聚类分析，找出相同类型的消息报文；

2）对已找出的相同类型的消息报文进行比对，找出消息报文中固定的部分与变化的部分，得到消息报文的格式；

3）对已得到消息报文格式的消息报文序列进行时序分析，设定阈值，并找出时间间隔低于阈值的消息报文，将其关联为一组；

4）使用传感器采集环境数据，对比已关联消息报文中的一组消息报文序列的时间戳，标注语意信息。

优选的，所述步骤1）包括以下步骤：

使用基于n-gram的距离定义，得到距离矩阵；

使用层次聚类方法聚类，得到相同类型的报文。

进一步的，所述的使用基于n-gram的距离定义，得到距离矩阵的方法为，

记n_s表示两个消息报文的n-gram元组的最长公共子序列的长度，n_t表示两个消息报文的n-gram元组的总数，距离的计算公式为：

$d={(1-\frac{n_s}{n_t})}^2.$

更进一步的，所述的使用层次聚类方法聚类，得到相同类型的报文的方法为，使用层次聚类方法，对已得到的距离矩阵进行聚类分析，得到聚类树，选取树中恰当的层次，输出聚类结果。

优选的，所述步骤2）包括以下步骤：

使用基于评分策略的动态规划算法，计算比对得分的最大值；

根据比对得分的最大值计算过程，生成初步比对结果；

对初步比对结果进行合并，生成最终比对结果。

进一步的，所述的使用基于评分策略的动态规划算法，计算比对得分的最大值的方法为，

记n个序列为x₁,x₂,…,x_n，第i个序列的第j个字符为x_i,j，s[t₁,t₂,…,t_n]表示n个序列前缀的比对得分的最大值，则

$s[t_1,t_2,...,t_n]$

其中μ、σ为常数。

更进一步的，所述对初步比对结果进行合并，生成最终比对结果的方法为，对于上述公式当

都相等时，该位内容可变，但长度固定，用#字符标记；对于上述公式至少有部分不相等的情形，该位可选，用*字符标记；合并连续的#字符，并记录其数量；合并连续的*字符。

优选的，所述步骤3）的消息报文关联方法为，扫描同一设备消息报文的时间戳，如果相邻报文的时间戳之差小于第一阈值，则将其关联为一组。

优选的，所述步骤4）包括以下步骤：

在已部署嵌入式设备的环境中，部署若干传感器，校准传感器与网络嗅探器的时钟使其同步；

使用传感器采集环境的状态数据，使用嵌入式设备的控制器控制该区域内的设备，收集数据；

对比传感器数据的时间戳与步骤3）中的一组消息报文序列的时间戳，如果两个时间戳之差小于第二阈值，则对该组消息报文序列标注该传感器对应的语意信息。

一种嵌入式设备的协议自动逆向分析的装置，包括以下模块：

消息报文进行聚类分析模块，用于对消息报文进行聚类分析，找出相同类型的消息报文；

消息报文的格式获取模块，用于对已找出的相同类型的消息报文进行比对，找出消息报文中固定的部分与变化的部分，得到消息报文的格式；

消息报文关联模块，用于对已得到消息报文格式的消息报文序列进行时序分析，设定阈值，并找出时间间隔低于阈值的消息报文，将其关联为一组；

标注语意信息模块，用于对传感器采集环境数据与已关联消息报文中的一组消息报文序列的时间戳进行对比，标注语意信息。

（三）有益效果

本发明通过采用本发明的对消息报文进行聚类分析，找出相同类型的消息报文；对已找出的相同类型的消息报文进行比对，找出消息报文中固定的部分与变化的部分，得到消息报文的格式；对已得到消息报文格式的消息报文序列进行时序分析，设定阈值，并找出时间间隔低于阈值的消息报文，将其关联为一组；使用传感器采集环境数据，对比已关联消息报文中的一组消息报文序列的时间戳，标注语意信息的方法和相应的装置，解决了传统由于传统的报文分析大多关注了解协议结构本身，而忽略了对协议报文消息含义分析、并且自动化程度不高的问题。

附图说明

图1是本发明的一种嵌入式设备的协议自动逆向分析方法的流程图；

图2是本发明的一种嵌入式设备的协议自动逆向分析装置的示意图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式做进一步描述。以下实施例仅用于说明本发明，但不用来限制本发明的范围。

如图1所示的一种嵌入式设备的协议自动逆向分析方法的流程图，如图2所示的一种嵌入式设备的协议自动逆向分析装置的示意图，在本实施例中，使用图2所示的设备和如图2所示的方法进而完成一种嵌入式设备的协议自动逆向分析，以下实施例以此方案为例。

实施例

步骤1：使用消息报文进行聚类分析模块，找出相同类型的消息报文：

记n_s表示两个消息报文的n-gram元组的最长公共子序列的长度，n_t表示两个消息报文的n-gram元组的总数（除去n_s中的公共部分），距离的计算公式为：

$d={(1-\frac{n_s}{n_t})}^2.$

计算每两个消息的距离，得到距离矩阵。采用层次聚类的方法对距离矩阵进行聚类分析，得到聚类树，选取树中恰当的层次，输出聚类结果。

步骤2，使用消息报文的格式获取模块，对相同类型的消息报文进行比对，找出消息报文中固定与变化的部分，得到消息报文的格式，

具体方法如下：

记n个序列为x₁,x₂,…,x_n，第i个序列的第j个字符为x_i,j，s[t₁,t₂,…,t_n]表示n个序列前缀的比对得分的最大值，则

$s[t_1,t_2,...,t_n]$

其中μ、σ为常数。

对于这样的状态转移方程，可以使用自顶向下或自底向上的方法求解。

根据状态转移的逆过程，可以构造比对结果。

对于公式的情形当

都相等时，该位内容可变，但长度固定，用#字符标记；对于公式的至少有部分不相等的情形，该位可选，用*字符标记；

对于公式的其他情形，即为相等的字符为匹配结果。

扫描得到的初步比对结果，合并连续的#字符，并记录其数量；合并连续的*字符。

步骤3：使用消息报文关联模块，对消息报文序列的进行时序分析，找出时间间隔低于阈值的消息报文，将其关联为一组：

扫描同一设备消息报文的时间戳，如果相邻报文的时间戳之差小于阈值δ₁，则将其关联为一组。阈值的取值根据具体的情况进行选取，由消息报文的类别决定。

步骤4：使用标注语意信息模块，应用传感器采集环境数据，对比前述方法中的一组消息报文序列的时间戳，标注语意信息：

在已部署智能家居设备的场景中，部署若干传感器，校准传感器与网络嗅探器的时钟使其同步。

使用传感器采集环境的状态数据，使用智能家居设备的控制器控制该区域内的设备，在完成数据的收集工作后，对比传感器数据的时间戳与步骤4中的一组消息报文序列的时间戳，如果两个时间戳之差小于阈值δ₂，则对该组消息报文序列标注该传感器对应的语意信息。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的保护范畴。

Claims (10)

1.一种嵌入式设备的协议自动逆向分析的方法，其特征在于，包括以下步骤：

1）对消息报文进行聚类分析，找出相同类型的消息报文；

2）对已找出的相同类型的消息报文进行比对，找出消息报文中固定的部分与变化的部分，得到消息报文的格式；

3）对已得到格式的消息报文序列进行时序分析，设定阈值，并找出时间间隔低于阈值的消息报文，将其关联为一组；

4）使用传感器采集环境数据，对比已关联消息报文中的一组消息报文序列的时间戳，标注语意信息。

2.根据权利要求1所述的嵌入式设备的协议自动逆向分析的方法，其特征在于，所述步骤1）包括以下步骤：

使用基于n-gram的距离定义，得到距离矩阵；

使用层次聚类方法聚类，得到相同类型的报文。

3.根据权利要求2所述的嵌入式设备的协议自动逆向分析的方法，其特征在于，所述的使用基于n-gram的距离定义，得到距离矩阵的方法为，

记n_s表示两个消息报文的n-gram元组的最长公共子序列的长度，n_t表示两个消息报文的n-gram元组的总数，距离的计算公式为：

$d={(1-\frac{n_s}{n_t})}^2.$

4.根据权利要求3所述的嵌入式设备的协议自动逆向分析的方法，其特征在于，所述的使用层次聚类方法聚类，得到相同类型的报文的方法为，使用层次聚类方法，对已得到的距离矩阵进行聚类分析，得到聚类树，选取树中恰当的层次，输出聚类结果。

5.根据权利要求1所述的嵌入式设备的协议自动逆向分析的方法，其特征在于，所述步骤2）包括以下步骤：

使用基于评分策略的动态规划算法，计算比对得分的最大值；

根据比对得分的最大值计算过程，生成初步比对结果；

对初步比对结果进行合并，生成最终比对结果。

6.根据权利要求5所述的嵌入式设备的协议自动逆向分析的方法，其特征在于，所述的使用基于评分策略的动态规划算法，计算比对得分的最大值的方法为，

记n个序列为x₁,x₂,…,x_n，第i个序列的第j个字符为x_i,j，s[t₁,t₂,…,t_n]表示n个序列前缀的比对得分的最大值，则

$s[t_1,t_2,...,t_n]$

其中μ、σ为常数。

7.根据权利要求6所述的嵌入式设备的协议自动逆向分析的方法，其特征在于，所述对初步比对结果进行合并，生成最终比对结果的方法为，对于上述公式的情形为

都相等时，该位内容可变，但长度固定，用#字符标记；对于上述公式的至少有部分不相等的情形，该位可选，用*字符标记；合并连续的#字符，并记录其数量；合并连续的*字符。

8.如权利要求1所述的嵌入式设备的协议自动逆向分析的方法，其特征在于，所述步骤3）的消息报文关联方法为，扫描同一设备消息报文的时间戳，如果相邻报文的时间戳之差小于第一阈值，则将其关联为一组。

9.根据权利要求1所述的嵌入式设备的协议自动逆向分析的方法，其特征在于，所述步骤4）包括以下步骤：

在已部署嵌入式设备的环境中，部署若干传感器，校准传感器与网络嗅探器的时钟使其同步；

使用传感器采集环境的状态数据，使用嵌入式设备的控制器控制该区域内的设备，收集数据；

对比传感器数据的时间戳与步骤3）中的一组消息报文序列的时间戳，如果两个时间戳之差小于第二阈值，则对该组消息报文序列标注该传感器对应的语意信息。

10.一种嵌入式设备的协议自动逆向分析的装置，其特征在于，包括以下模块：

消息报文进行聚类分析模块，用于对消息报文进行聚类分析，找出相同类型的消息报文；

消息报文的格式获取模块，用于对已找出的相同类型的消息报文进行比对，找出消息报文中固定的部分与变化的部分，得到消息报文的格式；

消息报文关联模块，用于对已得到消息报文格式的消息报文序列进行时序分析，设定阈值，并找出时间间隔低于阈值的消息报文，将其关联为一组；

标注语意信息模块，用于对传感器采集环境数据与已关联消息报文中的一组消息报文序列的时间戳进行对比，标注语意信息。

Images