CN111913876A - 工控dpi引擎afl模糊测试方法、装置和电子设备 - Google Patents

Abstract

本发明实施例公开了工控DPI引擎AFL模糊测试方法、装置和设备，该方法包括：对原始DPI程序代码加入AFL测试代码，以加入解析和形成待测模块的原始数据的代码逻辑；从源码编译程序时进行插桩，以记录代码覆盖率；启动插桩后的DPI程序进行流量学习生成AFL模糊测试的原始数据；检查所述原始数据是否合法；如果所述原始数据合法，则根据所述原始数据对DPI指定模块进行所述AFL模糊测试，以测试所述DPI指定模块运行时程序是否崩溃。本发明通过流量学习快速的生成AFL的初始输入文件，提高AFL的效率。

Description

工控DPI引擎AFL模糊测试方法、装置和电子设备

技术领域

本发明实施例涉及工控安全技术领域，具体涉及工控DPI引擎AFL模糊测试方法、装置和电子设备。

背景技术

随着工控安全越来越热，对于工控网络主流检测和防御技术的工业DPI(DeepPacket Inspection，深度包检测技术)引擎也越来越引起各大安全厂商的重视；工控DPI引擎支持对各种工业控制网络协议的深度包检测功能，对工业控制网络的安全功不可没。但是工业现场和IT场景不同，对于生产的安全要求大于信息安全的需求，所以要部署工控DPI产品必须保障其本身的稳定性，特别是需要串行在网络中进行流量监测和防护的安全产品。

目前对工控DPI引擎的测试效率低、测试覆盖率低，无法针对私有协议进行有效测试。

发明内容

本发明实施例的目的在于提供工控DPI引擎AFL模糊测试方法、装置和电子设备，用以解决现有工控DPI引擎的测试效率低、测试覆盖率低，无法针对私有协议进行有效测试的问题。

为实现上述目的，本发明实施例主要提供如下技术方案：

第一方面，本发明实施例提供了一种工控DPI引擎AFL模糊测试方法，包括：对原始DPI程序代码加入AFL测试代码，以加入解析和形成待测模块的原始数据的代码逻辑；从源码编译程序时进行插桩，以记录代码覆盖率；启动插桩后的DPI程序进行流量学习生成AFL模糊测试的原始数据；检查所述原始数据是否合法；如果所述原始数据合法，则根据所述原始数据对DPI指定模块进行所述AFL模糊测试，以测试所述DPI指定模块运行时程序是否崩溃。

根据本发明的一个实施例，所述AFL测试代码通过学习生成初始的应用层协议数据、工控基线安全规则的原始数据。

根据本发明的一个实施例，所述对DPI指定模块进行所述AFL模糊测试，包括：通过设置测试参数对目标测试模块进行AFL模糊测试。

根据本发明的一个实施例，所述启动插桩后的DPI程序进行流量学习生成AFL模糊测试的原始数据，包括：通过流量学习对接入报文进行协议解析得到接入数据；对所述接入数据按照预设协议进行数据重组；对所述数据重组后的数据按照标准协议和预设私有协议的对应解析方式进行解析得到协议解析AFL数据；对所述协议解析AFL数据进行入侵检测、病毒检测和白名单检测，在白名单检测单元生成基线白名单安全规则原始数据。

第二方面，本发明实施例还提供一种工控DPI引擎AFL模糊测试装置，包括：插入模块，用于对原始DPI程序代码加入AFL测试代码，以加入解析和形成待测模块的原始数据的代码逻辑；插桩模块，用于从源码编译程序时进行插桩，以记录代码覆盖率；控制处理模块，用于对启动插桩后的DPI程序进行流量学习生成AFL模糊测试的原始数据，并检查所述原始数据是否合法；如果所述原始数据合法则根据所述原始数据对DPI指定模块进行所述AFL模糊测试，以测试所述DPI指定模块运行时程序是否崩溃。

根据本发明的一个实施例，所述AFL测试代码通过学习生成初始的应用层协议数据和工控基线安全规则的原始数据。

根据本发明的一个实施例，所述控制处理模块用于通过设置测试参数对目标测试模块进行所述AFL模糊测试。

根据本发明的一个实施例，所述控制处理模块用于通过流量学习对接入报文进行协议解析得到接入数据，并对所述接入数据按照预设协议进行数据重组；对所述数据重组后的数据按照标准协议和预设私有协议的对应解析方式进行解析得到协议解析AFL数据；对所述协议解析AFL数据进行入侵检测、病毒检测，最后是白名单规则检测单元，在此单元中生成基线白名单安全规则原始数据。

第三方面，本发明实施例还提供一种电子设备，包括：至少一个处理器和至少一个存储器；所述存储器用于存储一个或多个程序指令；所述处理器，用于运行一个或多个程序指令，用以执行如第一方面所述的工控DPI引擎AFL模糊测试方法。

第四方面，本发明实施例还提供一种计算机可读存储介质，包含一个或多个程序指令，所述一个或多个程序指令用于被执行如第一方面所述的工控DPI引擎AFL模糊测试方法。

本发明实施例提供的技术方案至少具有如下优点：

本发明实施例提供的工控DPI引擎AFL模糊测试方法、装置和电子设备，本发明可以采用自动学习的方式，程序afl自动化测试，提高了DPI协议测试效率；利用AFL方式对DPI的测试方法比传统有更大的覆盖率；能够利用私有协议的端口或者特征私有协议识别并形成私有协议的AFL模糊测试初始数据。

附图说明

图1为本发明实施例的工控DPI引擎AFL模糊测试方法的流程图。

图2为本发明实施例的工控DPI引擎AFL模糊测试装置的结构框图。

具体实施方式

以下由特定的具体实施例说明本发明的实施方式，熟悉此技术的人士可由本说明书所揭露的内容轻易地了解本发明的其他优点及功效。

以下描述中，为了说明而不是为了限定，提出了诸如特定系统结构、接口、技术之类的具体细节，以便透彻理解本发明。然而，本领域的技术人员应当清楚，在没有这些具体细节的其它实施例中也可以实现本发明。在其它情况中，省略对众所周知的系统、电路以及方法的详细说明，以免不必要的细节妨碍本发明的描述。

在本发明的描述中，需要理解的是，术语“第一”和“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性。

图1为本发明实施例的工控DPI引擎AFL模糊测试方法的流程图。如图1所示，本发明实施例的工控DPI引擎AFL模糊测试方法，包括：

S1：对原始DPI程序代码加入AFL测试代码，以加入解析和形成待测模块的原始数据的代码逻辑。

在本发明的一个实施例中，AFL测试代码通过学习生成初始的应用层协议数据、安全规则的原始数据和AFL测试时读取解析安全规则的逻辑代码。

具体地，对原始DPI程序代码加入AFL(American Fuzzy Lop)测试工作配合的代码，用于是在待测模块之前，加入解析和形成待测模块的原始数据的代码逻辑。其中，AFL测试代码有两处需要记录通过学习的方式生成的数据；第一处是协议解析模块之前形成初始的应用层协议数据，即在工控DPI解析完数据报文的五元组，并完成重组等的流程之后，记录学习到的应用层协议数据，并记录下来，形成初始测试的原始数据，以时间戳和协议号来命名即可；第二处是在检测模块之前，需要形成安全规则的原始数据和AFL测试时读取解析安全规则的逻辑代码。

S2：从源码编译程序时进行插桩，以记录代码覆盖率。

S3：启动插桩后的DPI程序进行流量学习生成AFL模糊测试的原始数据。

具体地，在获得编译插桩后的DPI程序后，启动DPI程序，并设置为AFL模糊测试模式；此模式可以选择离线的pcap报文回放输入原始数据流量或者在线学习方式；运行初始部分需要选择对哪些模块目标进行测试，如果只对OPC协议解析部分进行测试，那么需要明确设置参数为parser_opc_module,如果只对私有协议A进行测试，设置输入参数为parser_privateA_module。

在本实施例中，通过流量学习的方式学习对如何对带有协议的报文进行解析。例如接入报文为TCP/IP协议的报文，则通过流量学习可以在收到报文时，根据TCP/IP协议的协议解析方式得到去除报文格式后的接入数据。

对接入数据按照预设协议进行数据重组，例如按照http协议、Modbus-TCP协议、IEC104协议、OPC协议或者私有协议的规定格式进行数据重组。

对数据重组后的数据按照标准协议和预设私有协议的对应解析方式进行解析得到协议解析AFL数据，例如http协议、Modbus-TCP协议、IEC104协议、OPC协议和私有协议尝试进行解析，如数据重组时使用了Modbus-TCP协议，则在本步骤中使用Modbus-TCP协议对应的解析方式进行解析。其中，对于私有协议解析时，报文剥离了二层头，以及传输层头部数据，并进行了重组，协议识别，协议识别部分可以是通过协议端口或者特征码来进行；初始的协议解析AFL模糊测试原始数据在这里进行保存，即协议应用部分的raw数据。

对协议解析数据进行入侵检测和病毒检测，在检测单元中生成基线白名单安全规则原始数据。其中，入侵检测是数据报文依据特定算法与预置的威胁特征进行匹配。如果未发现报文存在威胁并且可以正确解析协议内容，则生成初始数据。此步骤形成了工控安全规则的初始数据。

S4：检查原始数据是否合法。

具体地，1，文件名检测：原始数据按照“时间戳-自增整数”；2，内容检测：原始数据存储为txt格式，内容为原始数据内容的十六进制值序列，不能为空，则合法。

S5：如果原始数据合法，则根据原始数据对DPI指定模块进行AFL模糊测试，以测试DPI指定模块运行时程序是否崩溃。

在本发明的一个实施例中，通过设置测试参数对目标测试模块进行AFL模糊测试。对初始数据进行AFL模糊测试。依据输入的AFL测试目标模块名称、输入文件路径和输出文件路径等，进行完整的有初始数据的AFL模糊测试。利用初始文件，作为初始测试集加入输入队列，将队列中的文件按一定的策略进行“突变”，如果经过变异文件更新了覆盖范围，则将其保留添加到队列中。

本发明实施例的工控DPI引擎AFL模糊测试方法会一直循环进行，期间触发了crash的文件会被记录下来。

本发明实施例提供的工控DPI引擎AFL模糊测试方法，可以采用自动学习的方式，程序afl自动化测试，提高了DPI协议测试效率；利用AFL方式对DPI的测试方法比传统有更大的覆盖率；能够利用私有协议的端口或者特征私有协议识别并形成私有协议的AFL模糊测试初始数据。

图2为本发明实施例的工控DPI引擎AFL模糊测试装置的结构框图。如图2所示，本发明实施例的工控DPI引擎AFL模糊测试装置包括插入模块100、插桩模块200和控制处理模块300。

其中，插入模块100用于对原始DPI程序代码加入AFL测试代码，以加入解析和形成待测模块的原始数据的代码逻辑。插桩模块200用于从源码编译程序时进行插桩，以记录代码覆盖率。控制处理模块300用于对启动插桩后的DPI程序进行流量学习生成AFL模糊测试的原始数据，并检查原始数据是否合法；如果原始数据合法则根据所述原始数据对DPI指定模块进行AFL模糊测试，以测试DPI指定模块运行时程序是否崩溃。

在本发明的一个实施例中，AFL测试代码通过学习生成初始的应用层协议数据和工控基线安全规则的原始数据。

在本发明的一个实施例中，控制处理模块300用于通过设置测试参数对目标测试模块进行AFL模糊测试。

在本发明的一个实施例中，控制处理模块300用于通过流量学习对接入报文进行协议解析得到接入数据，并对接入数据按照预设协议进行数据重组；对数据重组后的数据按照标准协议和预设私有协议的对应解析方式进行解析得到协议解析AFL数据；对协议解析AFL数据进行入侵检测、病毒检测和规则检测，并且在最后白名单规则检测单元中生成基线白名单安全规则原始数据。

需要说明的是，本发明实施例的工控DPI引擎AFL模糊测试装置的具体实施方式与本发明实施例的工控DPI引擎AFL模糊测试方法的具体实施方式类似，具体参见工控DPI引擎AFL模糊测试方法部分的描述，为了减少冗余，不做赘述。

另外，本发明实施例的工控DPI引擎AFL模糊测试装置的其它构成以及作用对于本领域的技术人员而言都是已知的，为了减少冗余，不做赘述。

本发明实施例还提供一种电子设备，包括：至少一个处理器和至少一个存储器；所述存储器用于存储一个或多个程序指令；所述处理器，用于运行一个或多个程序指令，用以执行如第一方面所述的工控DPI引擎AFL模糊测试方法。

本发明所公开的实施例提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序指令，当所述计算机程序指令在计算机上运行时，使得计算机执行上述的工控DPI引擎AFL模糊测试方法。

在本发明实施例中，处理器可以是一种集成电路芯片，具有信号的处理能力。处理器可以是通用处理器、数字信号处理器(Digital Signal Processor，简称DSP)、专用集成电路(Application Specific Integrated Circuit，简称ASIC)、现场可编程门阵列(FieldProgrammable GateArray，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。处理器读取存储介质中的信息，结合其硬件完成上述方法的步骤。

存储介质可以是存储器，例如可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。

其中，非易失性存储器可以是只读存储器(Read-Only Memory，简称ROM)、可编程只读存储器(Programmable ROM，简称PROM)、可擦除可编程只读存储器(Erasable PROM，简称EPROM)、电可擦除可编程只读存储器(Electrically EPROM，简称EEPROM)或闪存。

易失性存储器可以是随机存取存储器(Random Access Memory，简称RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(Static RAM，简称SRAM)、动态随机存取存储器(Dynamic RAM，简称DRAM)、同步动态随机存取存储器(Synchronous DRAM，简称SDRAM)、双倍数据速率同步动态随机存取存储器(Double DataRate SDRAM，简称DDRSDRAM)、增强型同步动态随机存取存储器(EnhancedSDRAM，简称ESDRAM)、同步连接动态随机存取存储器(Synch Link DRAM，简称SLDRAM)和直接内存总线随机存取存储器(DirectRambus RAM，简称DRRAM)。

本发明实施例描述的存储介质旨在包括但不限于这些和任意其它适合类型的存储器。

本领域技术人员应该可以意识到，在上述一个或多个示例中，本发明所描述的功能可以用硬件与软件组合来实现。当应用软件时，可以将相应功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是通用或专用计算机能够存取的任何可用介质。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的技术方案的基础之上，所做的任何修改、等同替换、改进等，均应包括在本发明的保护范围之内。

Claims (10)

1.一种工控DPI引擎AFL模糊测试方法，其特征在于，包括：

对原始DPI程序代码加入AFL测试代码，以加入解析和形成待测模块的原始数据的代码逻辑；

从源码编译程序时进行插桩，以记录代码覆盖率；

启动插桩后的DPI程序进行流量学习生成AFL模糊测试的原始数据；

检查所述原始数据是否合法；

如果所述原始数据合法，则根据所述原始数据对DPI指定模块进行所述AFL模糊测试，以测试所述DPI指定模块运行时程序是否崩溃。

2.根据权利要求1所述的工控DPI引擎AFL模糊测试方法，其特征在于，所述AFL测试代码通过学习生成初始的应用层协议数据和工控基线安全规则的原始数据。

3.根据权利要求1所述的工控DPI引擎AFL模糊测试方法，其特征在于，所述对DPI指定模块进行所述AFL模糊测试，包括：

通过设置测试参数对所述DPI指定模块进行AFL模糊测试。

4.根据权利要求1所述的工控DPI引擎AFL模糊测试方法，其特征在于，所述启动插桩后的DPI程序进行流量学习生成AFL模糊测试的原始数据，包括：

通过流量学习对接入报文进行协议解析得到接入数据；

对所述接入数据按照预设协议进行数据重组；

对所述数据重组后的数据按照标准协议和预设私有协议的对应解析方式进行解析得到协议解析AFL数据；

对所述协议解析AFL数据进行入侵检测和病毒检测，在经过白名单检测单元时，生成基线白名单安全规则原始数据。

5.一种工控DPI引擎AFL模糊测试装置，其特征在于，包括：

插入模块，用于对原始DPI程序代码加入AFL测试代码，以加入解析和形成待测模块的原始数据的代码逻辑；

插桩模块，用于从源码编译程序时进行插桩，以记录代码覆盖率；

控制处理模块，用于对启动插桩后的DPI程序进行流量学习生成AFL模糊测试的原始数据，并检查所述原始数据是否合法；如果所述原始数据合法则根据所述原始数据对DPI指定模块进行所述AFL模糊测试，以测试所述DPI指定模块运行时程序是否崩溃。

6.根据权利要求5所述的工控DPI引擎AFL模糊测试装置，其特征在于，所述AFL测试代码通过学习生成初始的应用层协议数据和工控基线安全规则的原始数据。

7.根据权利要求5所述的工控DPI引擎AFL模糊测试装置，其特征在于，所述控制处理模块用于通过设置测试参数对目标测试模块进行所述AFL模糊测试。

8.根据权利要求5所述的工控DPI引擎AFL模糊测试装置，其特征在于，所述控制处理模块用于通过流量学习对接入报文进行协议解析得到接入数据，并对所述接入数据按照预设协议进行数据重组；对所述数据重组后的数据按照标准协议和预设私有协议的对应解析方式进行解析得到协议解析AFL数据；对所述协议解析AFL数据进行入侵检测、病毒检测和白名单检测并生成基线白名单安全规则。

9.一种电子设备，其特征在于，所述电子设备包括：至少一个处理器和至少一个存储器；

所述存储器用于存储一个或多个程序指令；

所述处理器，用于运行一个或多个程序指令，用以执行如权利要求1-4任一项所述的工控DPI引擎AFL模糊测试方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中包含一个或多个程序指令，所述一个或多个程序指令用于执行如权利要求1-4任一项所述的工控DPI引擎AFL模糊测试方法。

Images