CN111835733B

CN111835733B - Dlt 645-2007协议漏洞挖掘状态机实现方法

Info

Publication number: CN111835733B
Application number: CN202010588687.0A
Authority: CN
Inventors: 张子通; 苏小松
Original assignee: Guangzhou Haiyi Information Security Technology Co ltd
Current assignee: Guangzhou Haiyi Information Security Technology Co ltd
Priority date: 2020-06-24
Filing date: 2020-06-24
Publication date: 2022-06-14
Anticipated expiration: 2040-06-24
Also published as: CN111835733A

Abstract

本发明公开了一种DLT 645‑2007协议漏洞挖掘状态机实现方法，方法包括：A)如是单通道设备，执行B)；如是多通道设备，执行B′)和B")；B)在通信信道上发送测试报文；C)判断是否满足指定条目，如是，执行D)；否则，返回B)；D)在通信信道上发送监测报文；E)判断是否满足触发规则，如是，执行F)；F)发出报警，返回B)；B′)在其中一通信信道上发送测试报文；C′)判断测试报文是否发送完毕，如是，执行D′)；D′)停止发送；B")在另一通信信道上发送监测报文；C")判断是否满足触发规则，如是，执行D")；D")发出告警。本发明能减少人力与时间成本，并捕捉不会造成设备物理瘫痪。

Description

DLT 645-2007协议漏洞挖掘状态机实现方法

技术领域

本发明涉及协议漏洞挖掘领域，特别涉及一种DLT 645-2007协议漏洞挖掘状态机实现方法。

背景技术

电能计量自动化系统是智能用电领域最核心、最关键的系统，是建设智能电网的着力点和落脚点。随着国内电力自动化技术的飞速发展，具有自主知识产权的电力自动化设备也随之开发成功，设备性能也逐渐提升。但由于生产这些设备的厂商不同，通信采用的工业控制协议不同，设备早期设计的重点不同等多种原因，造成自动化设备存在一些功能性或安全性的逻辑缺陷，这些就构成了电能计量自动化系统的漏洞，一旦某些较严重的漏洞被攻击者发现，就有可能被其利用，在未授权的情况下访问或破坏整个系统。因此，先于恶意攻击者发现并分析自动化设备的安全漏洞，及时针对漏洞制定相应保护策略，可有效减少来自外部网络的威胁。与此同时，我国的工控网络安全研究者们在漏洞研究方面显得相对被动和滞后，尤其是缺少有效针对漏洞生命周期中各环节相关的测试盒开发工具，如能使用对工控漏洞进行挖掘检测的产品，对研究工控安全是具有重要意义的。现在技术中，对DL/T 645—2007协议模糊测试漏洞的判断大多要基于人工观察设备的运行状态，再针对触发时间找漏洞报文。缺点是会大量耗费人力与时间成本。并且会漏掉相当一部分不会造成设备物理瘫痪的漏洞报文。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种能减少人力与时间成本，并捕捉不会造成设备物理瘫痪的漏洞报文的DLT 645-2007协议漏洞挖掘状态机实现方法。

本发明解决其技术问题所采用的技术方案是：构造一种DLT 645-2007协议漏洞挖掘状态机实现方法，包括如下步骤：

A)判断当前设备是单通道设备还是多通道设备，如是单通道设备，则执行步骤B)；如是多通道设备，则执行步骤B′)和B")；

B)在通信信道上发送测试报文；

C)判断是否满足指定条目，如是，执行步骤D)；否则，返回步骤B)；

D)在所述通信信道上发送监测报文；

E)判断是否满足触发规则，如是，执行步骤F)；否则，返回步骤B)；

F)发出报警，返回步骤B)；

B′)在其中一个通信信道上发送测试报文；

C′)判断所述测试报文是否发送完毕，如是，执行步骤D′)；否则，返回步骤B′)；

D′)停止发送；

B")在另一个通信信道上发送监测报文；

C")判断是否满足触发规则，如是，执行步骤D")；否则，返回步骤B")；

D")发出告警，返回步骤B")。

在本发明所述的DLT 645-2007协议漏洞挖掘状态机实现方法中，所述监测报文采取电压值、电流值、时间、超长报文检测、设备掉线检测和设备接收正常包无响应检测。

在本发明所述的DLT 645-2007协议漏洞挖掘状态机实现方法中，所述监测报文的心跳包采取地址域为全A。

在本发明所述的DLT 645-2007协议漏洞挖掘状态机实现方法中，所述超长报文检测用于判断出超长报文对设备造成功能瘫痪的影响，也列为功能漏洞，当返回的响应报文长度超过指定的阈值，则认为触发此规则。

在本发明所述的DLT 645-2007协议漏洞挖掘状态机实现方法中，针对设备掉线检测，发送5次心跳检测报文，只要5次心跳报文中，其中的1次有响应，则认为设备在线，如果5次心跳检测全部没响应，则认为设备已掉线。

在本发明所述的DLT 645-2007协议漏洞挖掘状态机实现方法中，针对设备接收正常包无响应检测，首先发送心跳包，所述心跳包有响应，然后发送采集状态的报文，但所述采集的状态报文没得到正常的响应，则认为触发了判断规则。

在本发明所述的DLT 645-2007协议漏洞挖掘状态机实现方法中，所述单通道设备采用时分复用的监测方法。

实施本发明的DLT 645-2007协议漏洞挖掘状态机实现方法，具有以下有益效果：由于针对单通道和双通道的设备有不同的解决方法，针对单通道设备，采用时分复用的监测方法，一段时间阈值内发送测试报文，用于检测、并尽可能触发漏洞，随后停止发送测试报文，发送监测报文，采集设备各种状态值是否属于正常范围；若采集的设备状态值超出正常范围，则发出警告，并发出疑似漏洞报警；对于双通单设备，采取测试报文与监测报文相互独立的方法进行测试，一个通道不间断地发送测试报文，另一通道不间断地采集设备状态，若状态值超出正常范围，则发出疑似漏洞警告；本发明能减少人力与时间成本，并捕捉不会造成设备物理瘫痪。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明DLT 645-2007协议漏洞挖掘状态机实现方法一个实施例中的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明DLT 645-2007协议漏洞挖掘状态机实现方法实施例中，该DLT 645-2007协议漏洞挖掘状态机实现方法的流程图如图1所示。图1中，该DLT 645-2007协议漏洞挖掘状态机实现方法包括如下步骤：

步骤S01判断当前设备是单通道设备还是多通道设备：本步骤中，判断当前设备是单通道设备还是多通道设备，如果判断的结果是单通道设备，则执行步骤S02；如果判断的结果是多通道设备，则执行步骤S02′和步骤S02"。

步骤S02在通信信道上发送测试报文：本步骤中，在单通道设备的通信信道上发送测试报文。

步骤S03判断是否满足指定条目：本步骤中，判断是否满足指定条目，如果判断的结果为是，则执行步骤S04；否则，返回步骤S02。

步骤S04在通信信道上发送监测报文：如果上述步骤S03的判断结果为是，则执行本步骤。本步骤中，在单通道设备的通信信道上发送监测报文。

步骤S05判断是否满足触发规则：本步骤中，判断是否满足触发规则，如果判断的结果为是，则执行步骤S06；否则，返回步骤S02。

步骤S06发出报警：本步骤中，发出报警。执行完本步骤，返回步骤S02。由此可见，单通道设备，因为其只具有一路通信通道，而测试与检测不能同时进行，所以采取时分复用的方法进行测试与检测，在发送指定条数的测试报文后，停止发送测试报文，然后在此通道上发送监测报文，并对状态值进行判断。

步骤S02′在其中一个通信信道上发送测试报文：本步骤中，在多通道设备其中一个通信信道上发送测试报文。

步骤S03′判断测试报文是否发送完毕：本步骤中，判断测试报文是否发送完毕，如果判断的结果为是，则执行步骤S04′；否则，返回步骤S02′。

步骤S04′停止发送：本步骤中，停止发送。

步骤S02"在另一个通信信道上发送监测报文：本步骤中，在多通道设备另一个通信信道上发送监测报文。监测报文采取常见的电压值、电流值、时间、超长报文检测、设备掉线检测和设备接收正常包无响应检测。监测报文的心跳包为了针对设备地址不同造成的不响应误报，统一采取地址域为全A。超长报文检测用于判断出超长报文对设备造成功能瘫痪的影响，也列为功能漏洞，当返回的响应报文长度超过指定的阀值，则认为触发此规则。

步骤S03"判断是否满足触发规则：本步骤中，判断是否满足触发规则，如果判断的结果为是，则执行步骤S04"；否则，返回步骤S02"。

步骤S04"发出告警：如果上述步骤S03"的判断结果为是，则执行本步骤。本步骤中，发出告警。多通道设备，具有多条通信通道，测试与检测可以同时进行，所以采取相互独立发送测试报文与监测报文的形式，在一条通信通道上不间断发送测试报文，另一条通信通道上不间断的发送报状监测报文，并对状态值进行判断。本发明能减少人力与时间成本，并捕捉不会造成设备物理瘫痪。

针对设备掉线检测，为了减少误判，发送5次心跳检测报文，只要5次心跳报文中，其中的1次有响应，则认为设备在线，如果5次心跳检测全部没响应，则认为设备已掉线。

针对设备接收正常包无响应检测，采取的办法是，首先发送心跳包，心跳包有响应，然后发送采集状态的报文，但采集状态报文没得到正常的响应，则认为触发了此判断规则。

总之，本发明设有通过基于报文状态检测的漏洞触发判断模型，简称漏模。以漏模作为基础对DL/T 645—2007协议进行模糊测试时对设备状态进行检测，以此为根据判断是否触发协议漏洞。针对三相表，因其有两路独立的接收报文端口，所以状态机采用独立线路检测模式，一路不间断接收模糊测试报文，另一路不间断接收状态监测报文。以达到可以实时监测智能电表的状态。针对单相表，因其只有一路端口，所以只能采取模糊测试报文与状态监测报文轮询发送的方法。此技术可以在对DL/T 645—2007协议进行模糊测试时，能程序式发现触发漏洞的时间，然后根据该时间找出触发漏洞的报文。本发明可以更准确、便捷地发现漏洞报文。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种DLT645-2007协议漏洞挖掘状态机实现方法，其特征在于，包括如下步骤：A)判断当前设备是单通道设备还是多通道设备，如是单通道设备，则执行步骤B)；如是多通道设备，则执行步骤B′)和B")；B)在单通道设备的通信信道上发送测试报文；所述单通道设备采用时分复用的监测方法；C)判断是否满足指定条目，如是，执行步骤D)；否则，返回步骤B)；D)在所述通信信道上发送监测报文；E)判断是否满足触发规则，如是，执行步骤F)；否则，返回步骤B)；F)发出报警，返回步骤B)；B′)在多通道设备其中一个通信信道上发送测试报文；C′)判断所述测试报文是否发送完毕，如是，执行步骤D′)；否则，返回步骤B′)；D′)停止发送；B")在多通道设备另一个通信信道上发送监测报文；所述监测报文采取电压值、电流值、时间、超长报文检测、设备掉线检测和设备接收正常包无响应检测；所述监测报文的心跳包采取地址域为全A ；C")判断是否满足触发规则，如是，执行步骤D")；否则，返回步骤B")；D")发出告警，返回步骤B")。

2.根据权利要求1所述的一种DLT645-2007协议漏洞挖掘状态机实现方法，其特征在于，所述超长报文检测用于判断出超长报文对设备造成功能瘫痪的影响，也列为功能漏洞，当返回的响应报文长度超过指定的阈值，则认为触发此规则。

3.根据权利要求1至2任意一项所述的一种DLT645-2007协议漏洞挖掘状态机实现方法，其特征在于，针对设备掉线检测，发送5次心跳检测报文，只要5次心跳检测报文中，其中的1次有响应，则认为设备在线，如果5次心跳检测报文全部没响应，则认为设备已掉线。

4.根据权利要求3所述的一种DLT645-2007协议漏洞挖掘状态机实现方法，其特征在于，针对设备接收正常包无响应检测，首先发送心跳包，所述心跳包有响应，然后发送采集状态的报文，但所述采集的状态的报文没得到正常的响应，则认为触发了判断规则。