CN115098151A

CN115098151A - 一种细粒度的内网设备固件版本探测方法

Info

Publication number: CN115098151A
Application number: CN202210706182.9A
Authority: CN
Inventors: 解炜; 王振华; 王宝生; 王恩泽; 伍林洁; 梁晨; 高翼飞
Original assignee: National University of Defense Technology
Current assignee: National University of Defense Technology
Priority date: 2022-06-21
Filing date: 2022-06-21
Publication date: 2022-09-23

Abstract

本发明公开一种细粒度的内网设备固件版本探测方法，步骤包括：S1.获取公开的漏洞信息，将漏洞影响的设备型号和固件版本范围信息存储到漏洞特征数据库中；S2.获取设备固件镜像并解压后得到固件镜像文件数据库，从固件镜像文件数据库中提取出Web服务资源文件进行分析，提取出用于内网设备探测的特征；S3.根据用于内网设备探测的特征生成固件版本指纹，形成内网设备细粒度指纹库；S4.根据内网设备细粒度指纹库识别待测内网设备的固件版本，以及根据漏洞特征数据库判断待测内网设备是否存在安全漏洞。本发明能够实现内网设备的固件版本探测，且具有实现方法简单、探测效率与成功率高且无需依赖请求资源文件内容等优点。

Description

一种细粒度的内网设备固件版本探测方法

技术领域

本发明涉及固件版本探测技术领域，尤其涉及一种细粒度的内网设备固件版本探测方法。

背景技术

设备搜索引擎可以对直接连接在万维互联网上的设备厂商和型号进行识别，如Shodan和Censys，以及FOFA和ZoomEye等搜索引擎。上述搜索引擎均是通过扫描全网IP地址上的常用端口，分析服务的返回报文、证书签名、资源文件、IP地址等特征，能够较为准确的得到设备信息，如厂商、型号、开放端口、操作系统类型、所在地理位置、资产从属关系等等。但是上述设备搜索引擎由于没有固件版本的指纹，因而均无法识别具体的设备固件型号。

针对嵌入式设备细粒度的指纹识别，目前通常是通过自然语言处理技术将Web服务返回的报文内容转化为向量，通过比较测试设备响应数据与向量之间的相似度，也可以确定设备固件的具体版本信息。但是该类方式在验证固件版本时，需要发送大量测试请求，对于大规模、多类型设备型号就难以实现快速定位，因而不能解决大规模、多类型设备型号的快速定位问题。

综上，现有技术中内网设备探测方案无法识别设备具体型号与固件版本，而且在检测过程中需要发送大量探测报文，而现有技术中的细粒度设备探测方法需要获取资源文件内容的哈希值，但是内网请求会受到同源策略限制，无法获取文件内容，因而无法应用于内网设备探测。

有从业者提出，利用基于Web服务的本地设备发现技术，通过分析请求资源文件返回的报错信息，可以识别位于局域网内的设备型号。但是上述方案只实现了在局域网中识别某厂商的某类型设备是否存在，不能在不触发漏洞的情况下检查设备安全性，且设备探测仍然需要发送大量网络请求，因而可能因为超时导致无法识别。

中国专利申请CN109375945A公开一种物联网设备的固件版本探测方法及漏洞修复率评估方法，该方案可以实现更高效的设备固件版本探测，减少了识别设备固件版本信息所需要发送的请求数量，实现了对网络空间上大量设备具体固件版本型号的快速测量。但是该方案中的设备指纹仍然需要依赖设备中Web服务的资源文件内容计算得到的哈希值，而在内网探测环境中，会受到同源策略影响，即限制获取非本地文件的内容，如Javascript脚本不能获取其他网站资源文件的具体内容，因而上述方法无法应用到内网探测的特殊环境中以实现内网设备识别。

发明内容

本发明要解决的技术问题就在于：针对现有技术存在的不足，本发明提供一种细粒度的内网设备固件版本探测方法，能够快速、高效地探测内网设备固件版本。

为解决上述技术问题，本发明提出的技术方案为：

一种细粒度的内网设备固件版本探测方法，步骤包括：

S1.获取公开的漏洞信息，将漏洞影响的设备型号和固件版本范围信息存储到漏洞特征数据库中；

S2.获取设备固件镜像并解压后得到固件镜像文件数据库，从所述固件镜像文件数据库中提取出Web服务资源文件进行分析，提取出用于内网设备探测的特征；

S3.根据所述用于内网设备探测的特征生成固件版本指纹，形成内网设备细粒度指纹库；

S4.根据所述内网设备细粒度指纹库识别待测内网设备的固件版本，以及根据所述漏洞特征数据库判断待测内网设备是否存在安全漏洞。

进一步的，所述用于内网设备探测的特征包括内网设备的图片尺寸特征、Javascript脚本特征以及层叠样式表CSS特征。

进一步的，所述步骤S4中根据所述内网设备细粒度指纹库识别待测内网设备的固件版本包括：获取待测内网设备的Web服务中的目标图片文件，判断在所述内网设备细粒度指纹库中是否存在目标图片文件，并获取目标图片文件的尺寸大小，根据获取的尺寸大小识别待测内网设备的固件版本。

进一步的，所述步骤S4中根据所述内网设备细粒度指纹库识别待测内网设备的固件版本还包括：获取加载Javascript脚本特征时脚本中的变量、函数摘要值，根据获取的所述脚本中的变量、函数摘要值从所述内网设备细粒度指纹库中识别出待测内网设备的固件版本，所述函数摘要值包括函数名称、函数参数个数。

进一步的，所述步骤S4中根据所述内网设备细粒度指纹库识别待测内网设备的固件版本还包括：在HTML(超文本标记语言)标签引用CSS(Cascading Style Sheets，层叠样式表)文件后判断当前元素样式，得到CSS文件中的内容，根据获取的所述CSS文件中的内容从所述内网设备细粒度指纹库中识别出待测内网设备的固件版本。

进一步的，所述步骤S3中根据所述用于内网设备探测的特征生成固件版本指纹的步骤包括：

S301.汇总从Web服务资源文件中得到的所有特征并构建特征列表，所有固件版本和所有特征分别作为所述特征列表中的列和行，所述特征列表中的每项表格内容为不同版本在各特征上的取值；

S302.获取目标固件版本X的指纹，即为最小特征集合，遍历所有特征值并维护一个版本列表L，以确定是否将固件版本加入所述版本列表L，直至完成所有固件版本指纹的生成，所述版本列表L中为目标固件版本X的取值范围。

进一步的，所述步骤S302包括：

如果所述版本列表L的初始内容为除目标版本X外的所有版本，当所述版本列表L内所有固件版本在某一目标特征上取值均相同时则目标特征不加入固件版本指纹，即所述版本列表L的内容不变，继续遍历；

如果所述版本列表L中部分版本的取值与目标固件版本X的取值相同、部分不同，所述版本列表L中只保留与目标固件版本X取值相同的固件版本，并将对应特征加入固件版本指纹，继续遍历；

当所述版本列表L中所有版本与目标固件版本X在目标特征上的取值均不相同时，将所述目标特征加入固件版本指纹，遍历终止，生成得到所有的固件版本指纹。

进一步的，所述步骤S3中还包括设备厂商指纹生成步骤，包括：设置版本列表初始值为测试集中所有的设备生产厂商信息，特征列表为指定生产厂商所有型号设备共有的特征集合。

进一步的，所述步骤S3中还包括型号指纹生成步骤，包括：版本列表初始值为测试集中指定生产厂商所有型号，特征列表为指定型号内所有版本共有的特征集合。

一种存储有计算机程序的计算机可读存储介质，所述计算机程序执行时实现如上述的方法。

与现有技术相比，本发明的优点在于：

1、本发明通过获取公开披露的漏洞信息，将漏洞影响的设备型号和固件版本信息存储到漏洞特征数据库中，以及获取设备固件镜像得到固件镜像文件数据库，然后提取出Web服务的资源文件进行分析得到与内网设备探测相关的特征值，形成内网设备细粒度指纹库，基于该内网设备细粒度指纹库采用侧信道的设备识别方式实现固件版本识别，基于侧信道的设备识别方式能够实现对内网设备特征多角度的描绘，同时能够绕过内网设备固件版本探测中同源策略的限制，从而可以对内网设备实现快速、高效的细粒度固件版本识别，同时结合漏洞特征数据库还可以在不触发漏洞的情况下检查内网设备安全性。

2、本发明进一步通过结合多层设备指纹生成方式生成设备版本指纹，可以减少探测所需发送的请求数量，解决由于内网设备多、探测时间窗口有限而导致的用时过长、识别可能会因为用户关闭浏览器而失败等问题，有效提高探测的效率以及成功率。

附图说明

图1是本实施例细粒度的内网设备固件版本探测方法的实现流程示意图。

图2是本实施例实现内网设备固件版本探测的原理示意图。

图3是本发明具体应用实施例中通过图片尺寸区分设备的原理示意图。

图4是本发明具体应用实施例中通过脚本区分设备的原理示意图。

图5是本发明具体应用实施例中通过层叠样式表区分设备的原理示意图。

图6是本发明具体应用实施例中版本指纹的识别原理示意图。

具体实施方式

以下结合说明书附图和具体优选的实施例对本发明作进一步描述，但并不因此而限制本发明的保护范围。

如图1、2所示，本实施例细粒度的内网设备固件版本探测方法的步骤包括：

S2.获取设备固件镜像并解压后得到固件镜像文件数据库，从固件镜像文件数据库中提取出Web服务资源文件进行分析，提取出用于内网设备探测的特征；

S3.根据用于内网设备探测的特征生成固件版本指纹，固件版本指纹即为判断固件版本信息所需要的最小特征集，形成内网设备细粒度指纹库；

S4.根据内网设备细粒度指纹库识别待测内网设备的固件版本，以及根据漏洞特征数据库判断待测内网设备是否存在安全漏洞。

考虑到(1)由于内网设备无法从万维互联网直接访问，探测功能需要通过Web服务渲染执行的Javascript代码实现；(2)同源策略是重要的浏览器安全策略，该策略规定只有请求者与响应方的主机名、网络协议与端口均相同时，才能进行资源交互，Javascript脚本访问设备的Web服务时即会受到同源策略限制，不能直接获取网络资源的返回值。因而需要通过Web服务中资源文件加载特征的差别来判断设备型号；设备的指纹信息是判断设备的生产厂商、型号、版本信息所需要的最小特征集，需要通过对设备固件镜像中的文件内容进行分析获得。

本实施例基于内网设备固件版本探测的上述特性，通过首先从情报威胁网站获取公开披露的漏洞信息，将漏洞影响的设备型号和固件版本信息存储到漏洞特征数据库中，从生产厂商资源网站下载设备固件镜像并解压，得到固件镜像文件数据库，然后从中提取出Web服务的资源文件进行分析，得到与内网设备探测相关的特征值生成设备指纹，结合基于侧信道的设备识别方法实现快速、高效的细粒度设备固件版本识别。上述基于侧信道的设备识别方法即为通过侧信道的方法探测设备特征，在无法获取文件具体内容的情况下，通过对调用者的影响侧面判断内容，进而绕过同源策略的限制实现内网设备固件版本探测。

本实施例中，用于内网设备探测的特征具体包括内网设备的图片尺寸特征、Javascript脚本特征以及层叠样式表CSS特征，可以按照依次获取图片尺寸、Javascript脚本特征以及层叠样式表CSS特征的顺序进行检测。后续步骤S4中获取待测内网设备对应的目标特征值后，再将目标特征值与内网设备细粒度指纹库中对应特征值进行匹配比较，即可识别出待测内网设备的固件版本。

本实施例基于侧信道的方法实现内网设备固件版本探测具体包括：

(1)利用图片尺寸特征识别：获取待测内网设备的Web服务中的目标图片文件，判断在内网设备细粒度指纹库中是否存在目标图片文件，并获取目标图片文件的尺寸大小，根据获取的尺寸大小识别待测内网设备的固件版本。

HTML(超文本标记语言)是构建网站前端常用的语言，通过解析标签引入不同的展示元素，其中img标签加载图片资源时，不会受到同源策略限制，因而可以通过加载内网设备Web服务中的图片文件进行内网设备固件版本识别。如图3所示，通过输入图片资源的路径，加载内网设备Web服务中的图片文件后判断内网设备细粒度指纹库中该图片是否存在，并获取该图片的二维尺寸大小，以根据该特征(图片文件的尺寸大小)区分不同设备，即识别设备的固件版本。

(2)利用Javascript脚本特征识别：获取加载Javascript脚本特征时脚本中的变量、函数摘要值，根据获取的所述脚本中的变量、函数摘要值从所述内网设备细粒度指纹库中识别出待测内网设备的固件版本。

HTML的script标签在加载Javascript脚本时，也不会受到同源策略限制。本实施例在页面引用脚本后，判断脚本中的变量、函数摘要(包括函数名称、函数参数个数等)值，并根据该特征(变量、函数摘要值)区分不同设备，即识别设备的固件版本。

在具体应用实施例中，如图4所示，输入Javascript脚本的路径和逻辑等式，Javascript脚本的define.js中有一个函数Capture，其参数个数为1，故Capture.length为1；另有变量IPSEC_ENTRY，其值为1，故等式IPSEC_ENTRY＝＝1返回1(True)，输出等式的判定结果。

(3)利用CSS文件特征识别：在HTML标签引用CSS文件后判断当前元素样式，得到CSS文件中的内容，根据获取的所述CSS文件中的内容从所述内网设备细粒度指纹库中识别出待测内网设备的固件版本。

CSS文件可以修改前端页面中元素的样式，且HTML的link标签可以不受同源策略限制地引用外部CSS文件，本实施例在引用后通过判断CSS文件对当前元素样式地影响，侧面判断CSS文件内容，进而区分不同设备，即识别设备的固件版本。

在具体应用实施例中，如图5所示，CSS样式login.css设定了class为login_username元素的长度和宽度，通过输入CSS的路径、待测试的HTML标签和元素样式判定等式，判断当前元素的样式，即可获知CSS文件中的内容进而依据该特征区分不同设备。

本实施例中步骤S3中根据用于内网设备探测的特征生成固件版本指纹的步骤包括：

S301.汇总从Web服务资源文件中得到的所有特征并构建特征列表，所有固件版本和所有特征分别作为特征列表中的列和行，特征列表中的每项表格内容为不同版本在各特征上的取值；

在具体应用实施例中构建的特征列表如图6所示。以图6为例，上述步骤S302遍历过程具体包括：

(1)如果版本列表L的初始内容为除目标版本X外的所有版本，当版本列表L内所有版本在某一目标特征上取值均相同时(如图6中特征1)，则该目标特征不加入版本指纹，即版本列表L的内容不变，继续遍历；

(2)如果L中部分版本的取值与版本X的取值相同、部分不同，此时版本列表L中只保留与版本X取值相同的版本(如图6中只保留版本2)，将当前目标特征加入指纹，继续遍历；

(3)当版本列表L中所有版本与目标版本X在某个目标特征上的取值均不相同(如图5中特征M)时，将当前目标特征加入指纹，遍历终止。

本实施例通过结合多层设备指纹生成方式，可以减少探测所需发送的请求数量，解决由于内网设备多、探测时间窗口有限而导致的用时过长、识别可能会因为用户关闭浏览器而失败等问题，从而有效提高探测的效率以及成功率。

在具体应用实施例中，实现固件版本指纹遍历生成的伪代码如下：

本实施例中，步骤S3中还包括设备厂商指纹生成步骤，包括：设置版本列表初始值为测试集中所有的设备生产厂商信息，特征列表为指定生产厂商所有型号设备共有的特征集合，通过该设备厂商指纹可以识别内网设备的生产厂商信息。

本实施例中，步骤S3中还包括型号指纹生成步骤，包括：版本列表初始值为测试集中指定厂商所有型号，特征列表为指定型号内所有版本共有的特征集合，通过该型号指纹可以识别内网设备的设备型号。

本实施例步骤S3中具体通过分别按照上述方式生成固件版本指纹、设备厂商指纹以及型号指纹，可以分别依据各指纹对应识别内网设备的固件版本、厂商以及型号，各类指纹的识别原理相同，在此不再赘述。

本实施例中，在获知了设备的厂商、型号以及固件版本后，步骤S4中在漏洞特征数据库内进行查询，如果存在某个已知漏洞，其影响的设备型号和固件版本范围包括探测到的设备，则判定内网设备存在安全漏洞。

本实施例还提供存储有计算机程序的计算机可读存储介质，计算机程序执行时实现如上述的方法。

本发明通过基于侧信道的设备识别方法实现对内网设备特征多角度的描绘，能够绕过内网设备固件版本探测中同源策略的限制，同时通过结合多层设备指纹生成方式，减少探测所需发送的请求数量，可以解决由于内网设备多、探测时间窗口有限而导致的用时过长、识别可能会因为用户关闭浏览器而失败等问题，可以有效提高探测的效率以及成功率。

上述只是本发明的较佳实施例，并非对本发明作任何形式上的限制。虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明。因此，凡是未脱离本发明技术方案的内容，依据本发明技术实质对以上实施例所做的任何简单修改、等同变化及修饰，均应落在本发明技术方案保护的范围内。

Claims

1.一种细粒度的内网设备固件版本探测方法，其特征在于，步骤包括：

2.根据权利要求1所述的高效细粒度的内网设备固件版本探测方法，其特征在于，所述用于内网设备探测的特征包括内网设备的图片尺寸特征、Javascript脚本特征以及层叠样式表CSS特征。

3.根据权利要求2所述的高效细粒度的内网设备固件版本探测方法，其特征在于，所述步骤S4中根据所述内网设备细粒度指纹库识别待测内网设备的固件版本包括：获取待测内网设备的Web服务中的目标图片文件，判断在所述内网设备细粒度指纹库中是否存在目标图片文件，并获取目标图片文件的尺寸大小，根据获取的尺寸大小识别待测内网设备的固件版本。

4.根据权利要求3所述的高效细粒度的内网设备固件版本探测方法，其特征在于，所述步骤S4中根据所述内网设备细粒度指纹库识别待测内网设备的固件版本还包括：获取加载Javascript脚本特征时脚本中的变量、函数摘要值，根据获取的所述脚本中的变量、函数摘要值从所述内网设备细粒度指纹库中识别出待测内网设备的固件版本，所述函数摘要值包括函数名称、函数参数个数。

5.根据权利要求4所述的高效细粒度的内网设备固件版本探测方法，其特征在于，所述步骤S4中根据所述内网设备细粒度指纹库识别待测内网设备的固件版本还包括：在HTML标签引用CSS文件后判断当前元素样式，得到CSS文件中的内容，根据获取的所述CSS文件中的内容从所述内网设备细粒度指纹库中识别出待测内网设备的固件版本。

6.根据权利要求1～5中任意一项所述的高效细粒度的内网设备固件版本探测方法，其特征在于，所述步骤S3中根据所述用于内网设备探测的特征生成固件版本指纹的步骤包括：

7.根据权利要求6所述的高效细粒度的内网设备固件版本探测方法，其特征在于，所述步骤S302包括：

8.根据权利要求1～5中任意一项所述的高效细粒度的内网设备固件版本探测方法，其特征在于，所述步骤S3中还包括设备厂商指纹生成步骤，包括：设置版本列表初始值为测试集中所有的设备生产厂商信息，特征列表为指定生产厂商所有型号设备共有的特征集合。

9.根据权利要求1～5中任意一项所述的高效细粒度的内网设备固件版本探测方法，其特征在于，所述步骤S3中还包括型号指纹生成步骤，包括：版本列表初始值为测试集中指定生产厂商所有型号，特征列表为指定型号内所有版本共有的特征集合。

10.一种存储有计算机程序的计算机可读存储介质，其特征在于，所述计算机程序执行时实现如权利要求1～9中任意一项所述的方法。