[发明专利]一种基于协议状态图深度遍历的工控漏洞挖掘方法

权利要求书

1.一种基于协议状态图深度遍历的工控漏洞挖掘方法，其步骤包括：

1)获取目标设备的网络数据包，对网络数据包进行预处理得到待分析数据包集合；

2)对待分析数据包集合中的数据包进行分块处理得到大量协议基础块；

3)提取单数据包内协议基础块间的约束关联关系及数据包间的状态转移关联关系，并以此为基础构造协议状态图；所述协议基础块之间的约束关联关系包括长度约束、校验和约束、字段取值约束，所述数据包间的状态转移关联关系包括认证约束、字段取值约束、状态切换约束；

4)按深度优先方式对协议状态图进行遍历，生成并发送相应的畸形数据包；

5)探测目标设备是否存活，若目标设备崩溃则根据畸形数据包编写POC脚本进行漏洞验证，从而发现目标设备中存在的工控漏洞。

2.如权利要求1所述的方法，其特征在于：步骤1)利用数据包嗅探器抓取目标设备的网络数据包，所述数据包嗅探器为下列工具中的一种：Wireshark、Tcpdump、Burpsuite、Fiddler、Scapy、libpcap。

3.如权利要求1所述的方法，其特征在于：步骤1)所述目标设备包括网络摄像头、智能路由器、智能灯泡、PLC，所针对的网络协议包括TCP协议、UDP协议、FTP协议、Telnet协议、HTTP协议、RTSP协议、S7协议及MODBUS协议。

4.如权利要求1所述的方法，其特征在于：步骤1)所述预处理包括：过滤掉无关协议的数据包，筛除对fuzz测试无价值的数据包，以及对多次出现的重复网络数据包的去重。

5.如权利要求1所述的方法，其特征在于：步骤2)对网络数据包的协议请求头、请求数据、协议关键字、协议分隔符及协议字段值进行分块，得到大量的协议基础块。

6.如权利要求1所述的方法，其特征在于：步骤3)所述协议状态图中，每个节点为协议的一个状态，节点属性为协议基础块及其约束关联关系，每条边为协议状态间的状态转移关联关系。

7.如权利要求1所述的方法，其特征在于：步骤4)按深度优先方式对协议状态图进行遍历时，设置最大遍历深度，若达到最大遍历深度则向上回溯，继续对协议状态图进行遍历，若整个协议状态图遍历完毕，则停止。

8.如权利要求1所述的方法，其特征在于：步骤5)中探测目标设备是否存活的方法为下列中的一种：发送ICMP探测数据包、发送TCP SYN探测数据包、发送TCP FIN数据包、发送TCP探测数据包、发送UDP探测数据包。