CN104573523A - 文件漏洞挖掘的实现方法和装置 - Google Patents

Abstract

本发明提供了一种文件漏洞挖掘的实现方法和装置。所述方法包括：获取目标文件的文件格式；根据所述目标文件的文件格式获取对应的测试用例；对运行的目标文件通过所述测试用例进行模糊测试，以捕捉所述目标文件的漏洞。所述装置包括：格式获取模块，用于获取目标文件的文件格式；测试用例获取模块，用于根据所述目标文件的文件格式获取对应的测试用例；监视模块，用于对运行的目标文件通过所述测试用例进行模糊测试，以捕捉所述目标文件的漏洞。采用本发明能针对文件格式对文件漏洞进行查找，针对性强。

Description

文件漏洞挖掘的实现方法和装置

技术领域

本发明涉及信息安全技术，特别是涉及一种文件漏洞挖掘的实现方法和装置。

背景技术

近年来，利用软件漏洞尤其是文件型漏洞对计算机系统进行访问或破坏的现象越来越严重。文件型漏洞是指各种文件由于设计上的缺陷，可能对系统产生的安全隐患。在众多的隐患发现技术中FileFuzz作为一种有效的自动化漏洞挖掘技术，越来越受到重视。

由于FileFuzz具备很少出现误报等优点而被普遍采用来为目标文件进行安全测试，以对文件，例如，软件潜在的漏洞进行提示。

然而，传统的FileFuzz大都采用Blind Fuzz（盲测）来实现目标文件的安全测试。其中，盲测是通过随机修改数据来生成测试用例的，通过监控测试用例运行状态找出目标文件的漏洞。

但是，随着进行盲测的文件所涉及的文件格式变得越来越复杂，进而使得盲测所采用的测试用例无法覆盖所有文件格式，无法针对文件格式对文件漏洞进行查找，缺乏针对性。

发明内容

基于此，有必要针对盲测无法针对文件格式对文件漏洞进行查找，缺乏针对性的技术问题，提供一种能针对文件格式对文件漏洞进行查找，针对性强的文件漏洞挖掘的实现方法。

此外，还有必要提供一种能针对文件格式对文件漏洞进行查找，针对性强的文件漏洞挖掘的实现装置。

一种文件漏洞挖掘的实现方法，包括如下步骤：

获取目标文件的文件格式；

根据所述目标文件的文件格式获取对应的测试用例；

对运行的目标文件通过所述测试用例进行模糊测试，以捕捉所述目标文件的漏洞。

在其中一个实施例中，所述根据所述目标文件的文件格式获取对应的测试用例的步骤之前，所述方法还包括：

获取与目标文件的文件格式对应的样本文件；

通过预置的文件格式规范和所述样本文件生成所述文件格式对应的测试用例。

在其中一个实施例中，所述通过预置的文件格式规范和所述样本文件生成所述文件格式对应的测试用例的步骤包括：

根据所述预置的文件格式规范解析样本文件，对所述样本文件中的字段进行变异处理得到相应的测试用例。

在其中一个实施例中，所述对运行的目标文件通过所述测试用例进行模糊测试，以捕捉所述目标文件的漏洞步骤包括：

运行所述测试用例，通过所述测试用例中的变异数据对所述目标文件进行漏洞查找，以捕捉得到所述目标文件的漏洞。

在其中一个实施例中，所述对运行的目标文件通过运行所述测试用例进行模糊测试，以捕捉所述目标文件的漏洞的步骤之后，所述方法还包括：

记录所述目标文件的漏洞并相应保存所述测试用例。

一种文件漏洞挖掘的实现装置，包括：

格式获取模块，用于获取目标文件的文件格式；

测试用例获取模块，用于根据所述目标文件的文件格式获取对应的测试用例；

监视模块，用于对运行的目标文件通过所述测试用例进行模糊测试，以捕捉所述目标文件的漏洞。

在其中一个实施例中，所述装置还包括：

样本获取模块，用于获取与目标文件的文件格式对应的样本文件；

测试用例生成模块，用于通过预置的文件格式规范和样本文件生成文件格式对应的测试用例。

在其中一个实施例中，所述测试用例生成模块还用于根据所述预置的文件格式规范解析样本文件，对所述样本文件中的字段进行变异处理得到相应的测试用例。

在其中一个实施例中，所述监视模块还用于运行所述测试用例，通过所述测试用例中的变异数据对所述目标文件进行漏洞查找，以捕捉得到所述目标文件的漏洞。

在其中一个实施例中，所述装置还包括：

记录模块，用于记录所述目标文件的漏洞并相应保存所述测试用例。

上述文件漏洞挖掘的实现方法和装置，获取目标文件的文件格式，根据该文件格式获取对应的测试用例，对运行的目标文件通过获取的测试用例进行模糊测试，以捕捉得到目标文件中存在的漏洞，由于目标文件中的漏洞挖掘是通过针对文件格式得到的测试用例实现的，因此，能够针对不同的文件格式采用不同的测试用例对文件进行漏洞查找，使得文件的漏洞挖掘针对性强。

附图说明

图1为一个实施例中文件漏洞挖掘的实现方法的流程图；

图2为另一个实施例中文件漏洞挖掘的实现方法的流程图；

图3为一个实施例中文件漏洞挖掘的实现装置的结构示意图；

图4为另一个实施例中文件漏洞挖掘的实现装置的结构示意图。

具体实施方式

如图1所示，在一个实施例中，一种文件漏洞挖掘的实现方法，包括如下步骤：

步骤S110，获取目标文件的文件格式。

本实施例中，目标文件将是需要进行测试，以查找得到其所存在的漏洞的文件，例如，文件中常常存在系统漏洞Oday，即被攻击者掌握却未被软件厂商修复的系统漏洞，是未公开且没有相应补丁的漏洞。

文件格式将用于指示目标文件的文件类型，例如，常见的文件格式将包括了3gp、amv、asf、avi、bmp、emf、exe、flv、gif、ico、iff、mov、pcx、png、psd、qtif、rar、ras、rm、sgi、tga、wav、wmf、wmv、和zip等。每一目标文件均有唯一对应的文件格式。

步骤S130，根据目标文件的文件格式获取对应的测试用例。

本实施例中，预先设置与文件格式对应的若干个测试用例，与文件格式对应的若干个测试用例将形成与文件格式相对应的测试用例集，进而使得不同文件格式的目标文件将获取不同的测试用例，以针对不同的文件格式进行测试用例的获取，进而使得当前所进行的目标文件测试是针对方件格式进行的，实现了测试用例的动态获取以及针对性较强的文件测试。进一步的，根据目标文件的文件格式所获取得到的测试用例可为一个或者多个，将根据实际运营过程中的测试需求进行设定和灵活地调整。

步骤S150，对运行的目标文件通过测试用例进行模糊测试，以捕捉目标文件的漏洞。

本实施例中，所进行的模糊测试即为Smart Fuzz。在运行的目标文件中，将通过这一运行的目标文件开启测试用例，并监视测试用例的运行情况。具体的，所进行的模糊测试将通过测试用例对运行的目标文件触发各种运行异常，如内存读写异常、缓冲区溢出异常等，进而通过发生的异常获知目标文件中存在的漏洞。。

如图2所示，在一个实施例中，上述步骤S130之前，该方法还包括如下步骤：

步骤S210，获取与目标文件的文件格式对应的样本文件。

本实施例中，样本文件是与文件格式相对应的，对于目标文件而言，所在的文件格式都将有与其所对应的样本文件，并且该样本文件将覆盖相应文件格式之下的大部分文件规则。

由于样本文件覆盖了相应文件格式之下的大部分文件规则，并且是与文件格式相对应的，因此，通过样本文件的生成的测试用例将有效提高了代码的覆盖率，避免了大量无用测试用例的产生，进而使得应用生成的测试用例所进行的文件漏洞挖掘能够查找出更多的漏洞，提高了文件的安全性。

步骤S230，通过预置的文件格式规范和样本文件生成文件格式对应的测试用例。

本实施例中，根据目标文件的文件格式获取预置的文件格式规范，以通过获取得到的文件格式规范和样本文件生成测试用例，由于文件格式规范和样本文件均是针对文件格式获取得到的，所生成的测试用例必然也是与该文件格式相对应的。

需要说明的是，上述用于进行样本文件获取和预置的文件格式规范获取的目标文件并不仅限于当前即将进行安全测试的文件，也可以是当前不需要进行安全测试的文件，只需要针对不同文件格式获取其对应的样本文件和预置的文件格式规范，进而生成不同文件格式所对应的测试用例即可。

根据对目标文件的安全测试需求，将得到需要进行安全测试的若干个目标文件所对应的文件格式。针对每一种文件格式获取对应的样本文件和文件格式规范，通过获取的样本文件和文件格式规范生成对应的测试用例，进而得到每一种文件格式所对应的测试用例，以使用对该文件格式的目标文件进行安全性测试。

具体的，文件格式规范是对文件中数据的描述，例如，文件由哪几部分构成等信息。

在一个实施例中，上述步骤S230的具体过程为：根据预置的文件格式规范解析样本文件，对样本文件中的字段进行变异处理得到相应的测试用例。

本实施例中，预先设置样本文件的变异规则。根据预置的文件格式规范解析样本文件，以得到样本文件中的字段，此时，将根据预先设置的变异规则对解析得到的样本文件中的字段进行变异处理，以生成测试用例，即畸形样本。样本文件中进行变异处理的字段将是对应文件格式的脆弱点，例如，该脆弱点可以是文件头的大小、文件中某个结构的大小以及某个结构的字符串等。

例如，若样本文件中的某一字段为字符串，则根据预先设置的变异规则篡改该字符串为超长字符串；若样本文件中的某一字段为数字，则根据预先设置的变异规则将这一数字篡改为超大数字。

在一个实施例中，上述测试用例的生成、目标文件的运行以及测试用例的打开和监视均可通过一定的测试工具实现，在优选的实施例中，该测试工具为Peach工具。

在一个实施例中，上述步骤S150的具体过程为：运行测试用例，通过测试用例中的变异数据对目标文件进行漏洞查找，以捕捉得到目标文件的漏洞。

本实施例中，测试用例中的变异数据即为样本文件中根据变异规则对字段进行变性处理所得到的数据，测试用例是由变异数据形成的。

通过目标文件打开并运行对应的测试用例，监视目标文件采用测试用例中的变异数据进行运行的过程中是否出现异常，若是，则根据该变异数据定位目标文件中产生异常的位置，该位置即为目标文件的漏洞。

在另一个实施例中，上述步骤S150之后，该方法还包括如下步骤：

记录目标文件的漏洞并相应保存测试用例。

本实施例中，对目标文件中存在的漏洞以及触发该漏洞的测试用例进行记录，以便于后续产生的查看等需要。

如图3所示，在一个实施例中，一种文件漏洞挖掘的实现装置，包括格式获取模块110、测试用例获取模块130和监控模块150。

格式获取模块110，用于获取目标文件的文件格式。

本实施例中，目标文件将是需要进行测试，以查找得到其所存在的漏洞的文件，例如，文件中常常存在系统漏洞Oday，即被攻击者掌握却未被软件厂商修复的系统漏洞，是未公开且没有相应补丁的漏洞。

文件格式将用于指示目标文件的文件类型，例如，常见的文件格式将包括了3gp、amv、asf、avi、bmp、emf、exe、flv、gif、ico、iff、mov、pcx、png、psd、qtif、rar、ras、rm、sgi、tga、wav、wmf、wmv、和zip等。每一目标文件均有唯一对应的文件格式。

测试用例获取模块130，用于根据目标文件的文件格式获取对应的测试用例。

本实施例中，预先设置与文件格式对应的若干个测试用例，与文件格式对应的若干个测试用例将形成与文件格式相对应的测试用例集，进而使得测试用例获取模块130根据不同文件格式的目标文件将获取不同的测试用例，以针对不同的文件格式进行测试用例的获取，进而使得当前所进行的目标文件测试是针对方件格式进行的，实现了测试用例的动态获取以及针对性较强的文件测试。

进一步的，测试用例获取模块130根据目标文件的文件格式所获取得到的测试用例可为一个或者多个，将根据实际运营过程中的测试需求进行设定和灵活地调整。

监视模块150，用于对运行的目标文件通过测试用例进行模糊测试，以捕捉目标文件的漏洞。

本实施例中，监视模块150所进行的模糊测试即为Smart Fuzz。在运行的目标文件中，监视模块150将通过这一运行的目标文件开启测试用例，并监视测试用例的运行情况。。具体的，监视模块150所进行的模糊测试将通过测试用例对运行的目标文件触发各种运行异常，如内存读写异常、缓冲区溢出异常等，进而通过发生的异常获知目标文件中存在的漏洞。

如图4所示，在另一实施例中，上述装置还包括样本获取模块210和测试用例生成模块230。

样本获取模块210，用于获取与目标文件的文件格式对应的样本文件。

本实施例中，样本文件是与文件格式相对应的，对于目标文件而言，所在的文件格式都将有与其所对应的样本文件，并且该样本文件将覆盖相应文件格式之下的大部分文件规则。

由于样本文件覆盖了相应文件格式之下的大部分文件规则，并且是与文件格式相对应的，因此，通过样本文件的生成的测试用例将有效提高了代码的覆盖率，避免了大量无用测试用例的产生，进而使得应用生成的测试用例所进行的文件漏洞挖掘能够查找出更多的漏洞，提高了文件的安全性。

测试用例生成模块230，用于通过预置的文件格式规范和样本文件生成文件格式对应的测试用例。

本实施例中，测试用例生成模块230根据目标文件的文件格式获取预置的文件格式规范，以通过获取得到的文件格式规范和样本文件生成测试用例，由于文件格式规范和样本文件均是针对文件格式获取得到的，所生成的测试用例必然也是与该文件格式相对应的。

需要说明的是，上述用于进行样本文件获取和预置的文件格式规范获取的目标文件并不仅限于当前即将进行安全测试的文件，也可以是当前不需要进行安全测试的文件，只需要针对不同文件格式获取其对应的样本文件和预置的文件格式规范，进而生成不同文件格式所对应的测试用例即可。

根据对目标文件的安全测试需求，将得到需要进行安全测试的若干个目标文件所对应的文件格式。针对每一种文件格式获取对应的样本文件和文件格式规范，通过获取的样本文件和文件格式规范生成对应的测试用例，进而得到每一种文件格式所对应的测试用例，以使用对该文件格式的目标文件进行安全性测试。

具体的，文件格式规范是对文件中数据的描述，例如，文件由哪几部分构成等信息。

在另一个实施例中，上述测试用例生成模块230还用于根据预置的文件格式规范解析样本文件，对样本文件中的字段进行变异处理得到相应的测试用例。

本实施例中，预先设置样本文件的变异规则。测试用例生成模块230根据预置的文件格式规范解析样本文件，以得到样本文件中的字段，此时，将根据预先设置的变异规则对解析得到的样本文件中的字段进行变异处理，以生成测试用例，即畸形样本。样本文件中进行变异处理的字段将是对应文件格式的脆弱点，例如，该脆弱点可以是文件头的大小、文件中某个结构的大小以及某个结构的字符串等。

例如，若样本文件中的某一字段为字符串，则测试用例生成模块230根据预先设置的变异规则篡改该字符串为超长字符串；若样本文件中的某一字段为数字，则测试用例生成模块230根据预先设置的变异规则将这一数字篡改为超大数字。

在一个实施例中，上述测试用例的生成、目标文件的运行以及测试用例的打开和监视均可通过一定的测试工具实现，在优选的实施例中，该测试工具为Peach工具。

在另一个实施例中，上述监视模块150还用于运行测试用例，通过测试用例中的变异数据对目标文件进行漏洞查找，以捕捉得到目标文件的漏洞。

本实施例中，测试用例中的变异数据即为样本文件中根据变异规则对字段进行变性处理所得到的数据，测试用例是由变异数据形成的。

监视模块150通过目标文件打开并运行对应的测试用例，监视目标文件采用测试用例中的变异数据进行运行的过程中是否出现异常，若是，则根据该变异数据定位目标文件中产生异常的位置，该位置即为目标文件的漏洞。

在另一个实施例中，上述装置还包括了记录模块。该记录模块用于记录目标文件的漏洞并相应保存测试用例。

本实施例中，记录模块对目标文件中存在的漏洞以及触发该漏洞的测试用例进行记录，以便于后续产生的查看等需要。

上述文件漏洞挖掘的实现方法和装置，获取目标文件的文件格式，根据该文件格式获取对应的测试用例，对运行的目标文件通过获取的测试用例进行模糊测试，以捕捉得到目标文件中存在的漏洞，由于目标文件中的漏洞挖掘是通过针对文件格式得到的测试用例实现的，因此，能够针对不同的文件格式采用不同的测试用例对文件进行漏洞查找，使得文件的漏洞挖掘针对性强。

以上实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种文件漏洞挖掘的实现方法，包括如下步骤：

获取目标文件的文件格式；

根据所述目标文件的文件格式获取对应的测试用例；

对运行的目标文件通过所述测试用例进行模糊测试，以捕捉所述目标文件的漏洞。

2.根据权利要求1所述的方法，其特征在于，所述根据所述目标文件的文件格式获取对应的测试用例的步骤之前，所述方法还包括：

获取与目标文件的文件格式对应的样本文件；

通过预置的文件格式规范和所述样本文件生成所述文件格式对应的测试用例。

3.根据权利要求2所述的方法，其特征在于，所述通过预置的文件格式规范和所述样本文件生成所述文件格式对应的测试用例的步骤包括：

根据所述预置的文件格式规范解析样本文件，对所述样本文件中的字段进行变异处理得到相应的测试用例。

4.根据权利要求1所述的方法，其特征在于，所述对运行的目标文件通过所述测试用例进行模糊测试，以捕捉所述目标文件的漏洞步骤包括：

运行所述测试用例，通过所述测试用例中的变异数据对所述目标文件进行漏洞查找，以捕捉得到所述目标文件的漏洞。

5.根据权利要求1所述的方法，其特征在于，所述对运行的目标文件通过运行所述测试用例进行模糊测试，以捕捉所述目标文件的漏洞的步骤之后，所述方法还包括：

记录所述目标文件的漏洞并相应保存所述测试用例。

6.一种文件漏洞挖掘的实现装置，其特征在于，包括：

格式获取模块，用于获取目标文件的文件格式；

测试用例获取模块，用于根据所述目标文件的文件格式获取对应的测试用例；

监视模块，用于对运行的目标文件通过所述测试用例进行模糊测试，以捕捉所述目标文件的漏洞。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

样本获取模块，用于获取与目标文件的文件格式对应的样本文件；

测试用例生成模块，用于通过预置的文件格式规范和样本文件生成文件格式对应的测试用例。

8.根据权利要求7所述的装置，其特征在于，所述测试用例生成模块还用于根据所述预置的文件格式规范解析样本文件，对所述样本文件中的字段进行变异处理得到相应的测试用例。

9.根据权利要求6所述的装置，其特征在于，所述监视模块还用于运行所述测试用例，通过所述测试用例中的变异数据对所述目标文件进行漏洞查找，以捕捉得到所述目标文件的漏洞。

10.根据权利要求6所述的装置，其特征在于，所述装置还包括：

记录模块，用于记录所述目标文件的漏洞并相应保存所述测试用例。