CN112235161A - 一种基于fsm的摄像头网络协议模糊测试方法 - Google Patents

Abstract

本发明属于网络协议漏洞挖掘技术领域，具体涉及一种基于FSM的摄像头网络协议模糊测试方法。本发明克服了目前摄像头网络协议漏洞较多、模糊测试方法不成熟的问题，可以有效地检测协议漏洞。本发明可以自动生成原始数据，根据状态转换形式自动生成状态转换图。本发明的针对性更高，能提供SIP和RTSP协议的漏洞信息，帮助安全分析人员完成接下来的工作。

Description

一种基于FSM的摄像头网络协议模糊测试方法

技术领域

本发明属于网络协议漏洞挖掘技术领域，具体涉及一种基于FSM的摄像头网络协议模糊测试方法。

背景技术

随着物联网设备的普及，联网摄像头正作为家庭安防设备进入家庭。攻击者利用某些联网监控摄像头中的安全漏洞来监视其他家庭的隐私。

2015年4月17日，CNCERT发布了报告《关于监控可入侵和控制的高风险漏洞的设备及发动网络攻击的通报》。自2013年起，国内某知名厂商的摄像头设备陆续被曝光存在多个严重漏洞。2015年3月，国家信息安全漏洞共享平台(CNVD)公布了关于该厂商物联网设备的4起高危漏洞事件，主要危害是可获得系统服务器远程控制权限。截止2015年4月CNVD仅得到该厂商其中一起漏洞通报的反馈。当时存在其它漏洞并可被大规模利用和控制的消息在互联网上被大量转载。2016年10月，网络中断波及美国东海岸的大部分地区，其原因是黑客通过美国地区大量联网摄像头设备，攻击北美DYN公司的DNS系统。基于Incapsula对Mirai针对其客户的攻击的调查，Mirai曾利用被其控制的约5万个设备开展了流量峰值达280Gbps的攻击。所有设备分布在164个国家。

在安防领域，遍布城市各个角落的摄像头是边缘的设备随着应用范围和场景的扩充，联网摄像头的数量越来越大，对监控摄像头设备进行集中且有效的管控成为刚需。公共安全视频监控联网系统的国家标准GB/T28181，受到标准海康威视、雄迈、等国内大部分厂家的支持，协议覆盖摄像头、NVR、管理平台等设备。对GB/T28181标准的支持将会扩大各种基于视频处理智慧系统的应用范围，在实际项目中有推广和实用价值GB/T28181使用SIP协议作为应用层协议，使用RTSP协议作为媒体传输协议。其中SIP协议建立、控制和释放会话是其主要作用。而RTSP协议提供可靠的控制服务为了流媒体数据在网络中传输。

因此，在SIP和RTSP协议使用广泛的情况下，需要检测的漏洞多。攻击者利用漏洞编写对应的Payload形成Exploit，以此达到攻击者个人非法目的，如篡改、泄露信息、控制设备发起DDos攻击、当作Robot传播蠕虫病毒等。摄像头设备协议侧处理缺陷，导致漏洞是众多摄像头设备存在漏洞的原因之一，研究符合GB/T28181标准的联网摄像头的安全性和鲁棒性具有实际价值。

模糊测试是目前漏洞检测中使用最多的一种方法，可以使用突变字段作为测试输入来快速发现缓冲区溢出漏洞。在摄像头网络协议测试中，模糊测试首先会确定目标设备的通信协议，学习协议所在的网络层以及目标设备的访问方式，随后拆分网络协议字段并构造测试用例，将测试用例发送给目标设备并根据检测设备的状态判断漏洞是否存在。传统的模糊测试方法可分为记录并复现(Record and Replay Type，RRT)和基于模型的类型(Model-Based Type，MBT)。基于RRT的模糊测试方法在发现漏洞时记录问题，并在需要时复现，对测试对象的范围限制较少，比较灵活。基于MBT的模糊测试方法主要依据“状态模型”的概念，分析被测试对象的状态和转换过程。为了使目标设备转换到一下状态，需要解决转换过程中的冲突问题。MBT是一种较新的模糊测试方法，虽然其理论更为先进，不过由于实施困难，状态转移有冲突等问题，目前RRT仍是模糊测试的主流方法。

有限状态机(Finite State Machine，FSM)是协议状态转换中最优的形式化描述模型，用于表示有限状态以及状态之间进行转移和输入输出动作等交互行为，每个状态对相同的输入只有唯一的状态转移。利用有限状态机，可以很好地解决状态转换的冲突问题，弥补MBT方法的不足。

发明内容

本发明的目的在于提供一种基于FSM的摄像头网络协议模糊测试方法。

本发明的目的通过如下技术方案来实现：包括以下步骤：

步骤1：输入待测试的联网摄像头，获取待测试的联网摄像头的基本信息，判断待测试的联网摄像头使用的网络协议；

步骤2：将待测试的联网摄像头的网络协议使用有限状态机所描述的有向图表示，状态用节点描述，状态转换用有向边描述，通过状态转换形式提取模糊协议的FSM图；

步骤3：根据预定义的规范格式使用深度优先搜索算法从FSM图获取所有会话路径，把所有可能出现的状态都使用有限状态机表示后，用自动生成的数据填充可能出现漏洞的字段，构造模糊测试用例；

步骤4：向待测试的联网摄像头发送测试用例，判断待测试的联网摄像头接收该测试用例后是否崩溃，若未发生崩溃，则发送下一条测试用例，直到遍历关系图结束；若发生崩溃，则证明待测试的联网摄像头存在漏洞，记录崩溃点信息形成日志文件，恢复待测试的联网摄像头，发送下一条测试用例；

步骤5：根据模糊测试结果生成报告；对模糊测试结果进行分析，判断是否为已知或未知漏洞。

本发明还可以包括：

所述的步骤4中向待测试的联网摄像头发送测试用例，判断待测试的联网摄像头接收该测试用例后是否崩溃的方法具体为：

步骤4.1：利用wireshark抓包工具抓取目标数据包；

步骤4.2：过滤出待测试协议数据包并去重；

步骤4.3：对待测试协议的各个字段进行分块；

步骤4.4：以待测试协议状态图为节点构造关系图；

步骤4.5：按深度优先遍历关系图生成测试用例并发送；

步骤4.6：判断待测试的联网摄像头是否崩溃；若发生崩溃，则记录崩溃点信息形成日志文件并除去冗余测试用例；

步骤4.7：判断是否完成遍历关系图；若未完成，则返回步骤4.5。

本发明的有益效果在于：

本发明克服了目前摄像头网络协议漏洞较多、模糊测试方法不成熟的问题，可以有效地检测协议漏洞。本发明可以自动生成原始数据，根据状态转换形式自动生成状态转换图。本发明的针对性更高，能提供SIP和RTSP协议的漏洞信息，帮助安全分析人员完成接下来的工作。

附图说明

图1是本发明的整体流程图。

图2是摄像头探测模块流程图。

图3是有限状态机状态转移示意图。

图4是SIP协议状态转换图。

图5是RTSP协议状态转换图。

图6是SIP协议测试流程图。

图7是RTSP协议测试流程图。

图8是模糊测试用例生成算法的伪代码图。

具体实施方式

下面结合附图对本发明做进一步描述。

本发明提出了基于有限状态机的摄像头网络协议Fuzzing方法，具体涉及一种基于FSM的摄像头网络协议模糊测试方法，属于网络协议漏洞挖掘领域。本发明克服了目前摄像头网络协议漏洞较多、模糊测试方法不成熟的问题，可以有效地检测协议漏洞。

本发明的目的是这样实现的：

1.首先，本发明通过状态转换形式提取模糊协议的FSM图。然后将使用深度优先搜索算法从FSM图获取所有会话路径。第一阶段的主要功能是提取协议的有限状态机。

2.获取协议状态机后，生成层将使用状态会话生成算法生成会话。该算法主要采用深度优先搜索算法对状态空间进行遍历。首先，生成算法获取状态机的初始状态，然后将初始状态标记并放入状态会话链。之后，该算法根据状态机开始遍历所有状态。在遍历过程中，该算法首先选择初始状态的后续状态，并确定是否标记了后继状态。如果未标记该状态，则算法将标记该状态并选择其后继状态，并将该状态放入状态会话链。否则，算法将跳过此状态并重复迭代，直到未标记后继状态。当所有状态都被标记或不存在后继状态时，遍历将完成。这意味着状态会话链已生成。

3.生成算法该模块可分为三层：分析层，生成层和变异层。这三个层具有相应的处理阶段：解析协议命令格式，为命令生成原始数据以及自动生成测试数据。首先，本发明会解析模糊协议的命令；结合现场条件，将生成原始命令数据；最后，将通过内置或自定义的变异算法基于原始命令数据生成测试数据解析协议命令。解析层读取并分析要被模糊处理的协议的请求描述文件的内容，以获取被模糊处理的协议的所有请求。

4.用户需要根据预定格式预先编写协议。此外，模糊测试数据生成方法对模糊测试的效率影响很大。不良的方法不仅会生成大量的冗余测试数据，而且还会增加执行时间并降低模糊测试的效率。针对现有的模糊测试数据生成问题，并考虑到有状态网络协议的特点，本方法提供了以下内置的模糊测试用例生成算法，可以提高测试数据生成效率并缩短测试时间。

与现有技术相比，本发明的有益效果是：可以自动生成原始数据，根据状态转换形式自动生成状态转换图。另外，本方法的针对性更高，能提供SIP和RTSP协议的漏洞信息，帮助安全分析人员完成接下来的工作。

通过本方法对雄迈RA50X10的SIP协议以及RTSP协议进行模糊测试，共发现了7处缓冲区溢出漏洞，所处的字段与详细描述如表1所示。

表1雄迈RA50X10网络摄像头漏洞

深度优先搜索算法可以得到摄像头网络协议的所有状态，针对每一种状态构造数据进行模糊测试，这种模糊测试方法不会遗漏任何一个可能出现漏洞的状态，测试范围比传统的模糊测试方法更大，能够找到的漏洞也更多。

传统模糊测试方法由于具有状态转换冲突问题，生成的测试用例数目较多，导致测试时间较长，效率不高。有限状态机对于每个状态相同输入的状态转移是唯一的，这在本质上解决了状态转换冲突，能够有效地避免重复测试用例的出现，极大地加快了模糊测试进程。在针对雄迈RA50X10的SIP协议以及RTSP协议的模糊测试中，本方法分别使用了11小时和15小时，而传统模糊测试方法均超过了20个小时。由此可以看出，相较于传统模糊测试方法，本发明不仅检测出了缓冲区溢出漏洞所在的字段，而且生成的测试用例较少，能在更短的时间内发现较多漏洞。

实施例1：

一共可分为4个步骤，如图1所示：

A.收集摄像头信息；

B.使用突变方式生成模糊测试用例；

C.使用模糊测试用例对设备进行测试；

D.生成模糊测试报告。

1.摄像头信息的收集由指纹探测模块完成，该模块会识别通用联网摄像头的标识，网络摄像头型号规格、摄像头HTTP协议信息，探测流程如图2所示。

通用联网摄像头识别主要是识别RTSP协议，该协议用于处理声音或图像等流媒体，通常用于网络摄像头设备。该协议的服务端口为554，因此，如果检测到网络设备打开了554端口，则该设备是网络摄像头的可能性极大。

一些已知的品牌制造商会开发自己的专有协议，并开放特殊端口，例如思科的网络摄像头开放1024端口，霍尼韦尔开放5000端口，海康威视与萤石开放8000端口，对这些特殊端口进行检查可以进一步识别网络摄像头的型号规格。

HTTP协议信息识别主要分析网络摄像头的HTTP响应头中服务器字段、HTTPS证书等，根据这些信息，可以准确地识别网络摄像头的型号。

以上步骤的目的是收集摄像头基本信息，判断摄像头使用的网络协议。

2.该阶段首先会使用深度优先搜索算法提取摄像头网络协议的有限状态机，然后生成原始数据，进而使用突变自动生成测试数据，这些自动生成的测试数据将用于后续的模糊测试步骤。

首先，通过状态转换形式提取模糊协议的FSM图，摄像头网络协议可以使用有限状态机所描述的有向图表示，状态用节点描述，状态转换用有向边描述，如图1所示。

然后将根据预定义的规范格式使用深度优先搜索算法从FSM图获取所有会话路径，规范格式如下表所述。

表2规范状态转换格式

第一行定义了协议的初始状态，第二行定义了状态名称，从第三行开始，每行声明一个状态转换，即当前状态在收到特定请求[request]后将转移到下一个状态[next statename]。分析层会使用该算法，即深度优先搜索算法，提取协议的状态机。

首先，提取算法逐行读取协议规范，若当前行包含关键字[state]或初始状态[initial state]，则算法将连续读取协议规范，直到满足可以转移到下一个状态的请求。然后，算法将相应的请求和下一个状态分配给当前状态，循环上述操作直到协议规范被完全读取。随着协议规范的读取，协议状态机也就随之生成。

常见的SIP协议与RTSP协议的状态转换图如图4、图5所示。

把所有可能出现的状态都使用状态机表示后，用自动生成的数据填充可能出现漏洞的字段，构造模糊测试用例。

3.使用测试数据对目标发起请求，使用SYN和ACK检测来监视目标的活动状态。捕获数据流量，检查目标的崩溃状态。

测试时向设备发送测试用例，判断设这接收该测试用例后是否存活，若存活，则发送下一条测试用例，直到遍历关系图结束；若不存活，则证明设备存在漏洞，记录并发送下一条测试用例。针对SIP协议与RTSP协议的测试流程如图6、图7所示。

4.根据模糊测试中的目标状态生成报告，以便研究人员对摄像头网络协议的安全性提出改进方案。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (2)

1.一种基于FSM的摄像头网络协议模糊测试方法，其特征在于，包括以下步骤：

步骤1：输入待测试的联网摄像头，获取待测试的联网摄像头的基本信息，判断待测试的联网摄像头使用的网络协议；

步骤2：将待测试的联网摄像头的网络协议使用有限状态机所描述的有向图表示，状态用节点描述，状态转换用有向边描述，通过状态转换形式提取模糊协议的FSM图；

步骤3：根据预定义的规范格式使用深度优先搜索算法从FSM图获取所有会话路径，把所有可能出现的状态都使用有限状态机表示后，用自动生成的数据填充可能出现漏洞的字段，构造模糊测试用例；

步骤4：向待测试的联网摄像头发送测试用例，判断待测试的联网摄像头接收该测试用例后是否崩溃，若未发生崩溃，则发送下一条测试用例，直到遍历关系图结束；若发生崩溃，则证明待测试的联网摄像头存在漏洞，记录崩溃点信息形成日志文件，恢复待测试的联网摄像头，发送下一条测试用例；

步骤5：根据模糊测试结果生成报告；对模糊测试结果进行分析，判断是否为已知或未知漏洞。

2.根据权利要求1所述的一种基于FSM的摄像头网络协议模糊测试方法，其特征在于：所述的步骤4中向待测试的联网摄像头发送测试用例，判断待测试的联网摄像头接收该测试用例后是否崩溃的方法具体为：

步骤4.1：利用wireshark抓包工具抓取目标数据包；

步骤4.2：过滤出待测试协议数据包并去重；

步骤4.3：对待测试协议的各个字段进行分块；

步骤4.4：以待测试协议状态图为节点构造关系图；

步骤4.5：按深度优先遍历关系图生成测试用例并发送；

步骤4.6：判断待测试的联网摄像头是否崩溃；若发生崩溃，则记录崩溃点信息形成日志文件并除去冗余测试用例；

步骤4.7：判断是否完成遍历关系图；若未完成，则返回步骤4.5。

Images