CN105991517A - 漏洞发掘方法和装置 - Google Patents

Abstract

本发明提供了一种漏洞发掘方法和装置。涉及工作控制网络安全领域；解决了目前的测试方案无法发掘多个输入元素共同引进的漏洞的问题。该方法包括：计算造成漏洞的畸形数据的权值；构造多维测试用例；运行所述多维测试用例，以所述畸形数据为输入进行测试；在发掘到漏洞时，将造成该漏洞的畸形数据的权值设为最大。本发明提供的技术方案适用于FUZZ技术，实现了多维漏洞的发现。

Description

漏洞发掘方法和装置

技术领域

本发明涉及工业控制网络安全领域，尤其涉及一种漏洞发掘方法和装置。

背景技术

基于计算机技术和工业级网络的工业控制***已经历时十几年，工业控制***也由以前的专用设备以及与外部世界分离并独立的网络***，发展成为一种包括企业管理层、数据采集信息层、工业控制层的工业控制***。这融合了很多IT领域商用的标准协议，如微软视窗操作***和以太网TCP/IP技术等等。这大大地节约了成本与提高了工作效率，但是带来了大量的安全隐患，如平台漏洞、网络漏洞等。从而使工控***面临DOS攻击，信息泄露等，乃至发生更为严重的事故。

对于网络、***安全而言，预防远比防护重要；对于工控***，尤为重要。而对于工控网络协议的漏洞挖掘是重中之重。

对于漏洞挖掘技术，其中模糊测试技术(FUZZ技术)在漏洞挖掘中占有相当大的比重。

目前基于模糊测试技术的漏洞挖掘技术有如下几种方式：第一种是基于生成的技术，其核心思想是根据网络协议的语法、语义、同步信息构造出相应的畸形协议报文；第二种是基于变异的技术；其核心思想为通过相应的工具或者方式捕获原始协议报文，然后在此基础上进行修改从而构成相应的畸形协议报文；第三种是协议自学习的技术，该技术主要针对未知网络技术，其核心思想就是对原始协议报文通过聚类、报文分类、报文多序列对比等方法确定协议的语法语义等，从而构造出相应的畸形协议报文；第四种为基于符号执行的二进制代码漏洞挖掘技术。其核心思想就是对二进制代码进行反汇编，提取控制流及输入信息，然后在输入信息部分填入畸形数据，基于其控制流信息在中间语言上进行静态的符号执行。前三种方法可以用于网络协议漏洞挖掘。后一种方法专用于文件类型的漏洞挖掘。

在测试用例生成方面，有多种生成的方法，但当前的模糊测试用例生成技术都是一维的，即每次只变化一个输入元素，而许多漏洞是由多个输入元素共同作用引起的。目前的测试方案无法发掘多个输入元素共同引进的漏洞。

发明内容

本发明提供了一种漏洞发掘方法和装置，解决了目前的测试方案无法发掘多个输入元素共同引进的漏洞的问题。

一种漏洞发掘方法，包括：

计算造成漏洞的畸形数据的权值；

构造多维测试用例；

运行所述多维测试用例，以所述畸形数据为输入进行测试；

在发掘到漏洞时，将造成该漏洞的畸形数据的权值设为最大。

优选的，所述计算造成漏洞的畸形数据的权值的步骤包括：

1)对于前馈多层网络，为各层的权系数Wij置一个较小的非零随机数，其中W_i,n+1＝-θ，所述前馈多层网络每层有n个神经元，i＝1，2，…，n；j＝1，2，…，n；

2)输入一个样本X＝(X₁,X₂…X_n,1)，以及对应期望输出Y＝(Y₁,Y₂…Y_n)；

3)根据以下表达式，计算对于第k层第i个神经元的输出

$X_i^k=f\left(U_i^k\right),$

其中， $U_i^k=\underset{j=1}{\overset{n+1}{\mathrm{\Σ}}}{W}_{\mathrm{ij}}{X}_j^{k-1},X_{n+1}^{k-1}=1,$ W_i,n+1＝-θ；

4)分另计算各层的学习误差包括：

根据以下表达式计算输出层的学习误差，

$d_i^m=X_i^m(1-X_i^m)(X_i^m-Y_i),k=m,$

根据以下表达式计算输出层之外其他各层的学习误差：

$d_i^k=X_i^k(1-X_i^k)\underset{1}{\mathrm{\Σ}}{W}_{1i}{d}_1^{k+1};$

5)根据以下表达式修正权系数Wij和阀值θ：

$W_{\mathrm{ij}}(t+1)=W_{\mathrm{ij}}\left(t\right)-\mathrm{\η}\·d_i^k\·X_j^{k-1}$

$W_{\mathrm{ij}}(t+1)=W_{\mathrm{ij}}\left(t\right)-\mathrm{\η}\·d_i^k\·X_j^{k-1}+\mathrm{\α\Δ}{W}_{\mathrm{ij}}\left(t\right)$

$\begin{array}{c}{\mathrm{\ΔW}}_{\mathrm{ij}}\left(t\right)=-\mathrm{\η}\·d_i^k\·X_j^{k-1}+\mathrm{\α\Δ}{W}_{\mathrm{ij}}(t-1)\\ =W_{\mathrm{ij}}\left(t\right)-W_{\mathrm{ij}}(t-1)\end{array}$

当求出了各层各个权系数之后，可按给定品质指标判别是否满足要求；

在满足要求时结束计算，在未满足要求时返回步骤3)。

优选的，对于任一给定的样本X_p＝(X_p1,X_p2…X_pn,1)和期望输出Y_p＝(Y_p1,Y_p2…Y_pn)均执行权值计算。

优选的，所述构造多维测试用例包括：

确定待测试协议的主键；

确定所述待测试协议的固定字段；

确定所述待测试协议的可变字段；

根据所述待测试协议的主键、固定字段和可变字段，构造测试用例。

优选的，根据所述待测试协议的主键、固定字段和可变字段，构造测试用例包括：

从所述固定字段和所述可变字段中选择任一字段，改变该字段的值，构造针对该字段的单维测试用例。

优选的，根据所述待测试协议的主键、固定字段和可变字段，构造测试用例包括：

从所述固定字段和所述可变字段中选择多个字段，改变该多个字段的值，构造针对该多个字段的多维测试用例。

优选的，运行所述多维测试用例，以所述畸形数据为输入进行测试包括：

引擎根据相应的多维测试用例，根据畸形数据按权值的高低顺序依次随机生成相应的符合协议格式的畸形数据发送到可编程逻辑控制器PLC进行测试。

优选的，在发掘到漏洞时，将造成该漏洞的畸形数据的权值设为最大的步骤之后，还包括：

使用所述畸形数据，进行不同协议下的漏洞挖掘。

本发明还提供了一种漏洞发掘装置，包括：

权值计算模块，用于计算造成漏洞的畸形数据的权值；

用例构造模块，用于构造多维测试用例；

测试模块，用于运行所述多维测试用例，以所述畸形数据为输入进行测试；

结果执行模块，用于在发掘到漏洞时，将造成该漏洞的畸形数据的权值设为最大。

本发明提供了一种漏洞发掘方法和装置，计算造成漏洞的畸形数据的权值，构造多维测试用例，运行所述多维测试用例，以所述畸形数据为输入进行测试，在发掘到漏洞时，将造成该漏洞的畸形数据的权值设为最大。实现了多维漏洞的发现，解决了目前的测试方案无法发掘多个输入元素共同引进的漏洞的问题。

附图说明

图1为本发明的实施例一提供的一种漏洞发掘方法的流程图；

图2为构建BP网络计算造成漏洞的畸形数据的权值的流程图；

图3为本发明的实施例二提供一种漏洞发掘装置的结构示意图。

具体实施方式

下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

首先结合附图，对本发明的实施例一进行说明。

本发明实施例提供了一种漏洞发掘方法，使用该方法完成漏洞发掘的流程如图1所示，包括：

步骤101、计算造成漏洞的畸形数据的权值；

本步骤中，构造畸形数据学***台。

有很多数据经常引起漏洞，比如“0”、“，”、“％^#$”等，在具体进行多维模糊测试时，就根据权值高低或者权值大于多少的畸形数据进行模糊测试，这样就解决了组合性***问题。

但初始权值起先是根据统计或者经验值确定的，不一定正确，因此需要建立一个BP网的模型及程序，其算法原理如下：

在反向传播算法应用于前馈多层网络时，采用Sigmoid为激发面数时，可用下列步骤对网络的权系数W_ij进行递归求取。注意对于每层有n个神经元的时候，即有i＝1，2，…，n；j＝1，2，…，n。对于第k层的第i个神经元，则有n个权系数W_i1，W_i2，…，W_in，另外取多—个W_i,n+1用于表示阀值θi；并且在输入样本X时，取X＝(X₁,X₂…X_n,1)。

算法的执行的步骤如图2所示，包括：

(1)对权系数W_ij置初值。

对各层的权系数W_ij置一个较小的非零随机数，但其中W_i,n+1＝-θ。

(2)输入一个样本X＝(X₁,X₂…X_n,1)，以及对应期望输出Y＝(Y₁,Y₂…Y_n)。

(3)计算各层的输出。

对于第k层第i个神经元的输出有：

$U_i^k=\underset{j=1}{\overset{n+1}{\mathrm{\Σ}}}{W}_{\mathrm{ij}}{X}_j^{k-1},X_{n+1}^{k-1}=1,$ W_i,n+1＝-θ，

$X_i^k=f\left(U_i^k\right).$

(4)求各层的学习误差

对于输出层

$d_i^m=X_i^m(1-X_i^m)(X_i^m-Y_i),k=m,$

对于其他各层，有

$d_i^k=X_i^k(1-X_i^k)\underset{1}{\mathrm{\Σ}}{W}_{1i}{d}_1^{k+1}$

(5)修正权系数W_ij和阀值θ。

$W_{\mathrm{ij}}(t+1)=W_{\mathrm{ij}}\left(t\right)-\mathrm{\η}\·d_i^k\·X_j^{k-1}$

$W_{\mathrm{ij}}(t+1)=W_{\mathrm{ij}}\left(t\right)-\mathrm{\η}\·d_i^k\·X_j^{k-1}+\mathrm{\α\Δ}{W}_{\mathrm{ij}}\left(t\right)$

$\begin{array}{c}{\mathrm{\ΔW}}_{\mathrm{ij}}\left(t\right)=-\mathrm{\η}\·d_i^k\·X_j^{k-1}+\mathrm{\α\Δ}{W}_{\mathrm{ij}}(t-1)\\ =W_{\mathrm{ij}}\left(t\right)-W_{\mathrm{ij}}(t-1)\end{array}$

(6)当求出了各层各个权系数之后，可按给定品质指标判别是否满足要求。如果满足要求，则算法结束；如果未满足要求，则返回(3)执行。

这个学习过程，对于任一给定的样本X_p＝(X_p1,X_p2…X_pn,1)和期望输出Y_p＝(Y_p1,Y_p2…Y_pn)都要执行，直到满足所有输入输出要求为止。

通过这种BP神经网络的学习算法，就确定了各个畸形数据的具体权值。

步骤102、构造多维测试用例；

本步骤中，分析协议的脆弱点，对待进行多维模糊测试的协议进行分析，以发现更有可能出现问题的字段及字段组合进而可以按测试用例产生流程生成相应的多维测试用例。

测试用例的构造主要遵循以下原则：1、全面性；2、高效性；3、可控性。

对于测试用例以文件的形式存储，而不是写在代码中，这样可控性会强很多。

对于测试用例文件只是一种协议的描述语言的组合，由它根据畸形库的相关接口产生大量的畸形数据，这样，会节约磁盘空间并且能提高工作效率。

对于测试用例的构造流程如下：确定主键、确定固定字段、确定可变字段、构造单维测试用例、构造多维测试用例

1)确定待测试协议的主键。

主键是指一个协议测试用例构造中最为关键的一个字段，它肯定是可变字段。所有的协议测试用例都是围绕它来进行分类的。通过确定主键就能够确保全面性与高效性成为可能。

2)确定所述待测试协议的固定字段。

在协议报文中，有些字段的值按协议要求是固定不变的，象这样的字段就为固定字段。

3)确定所述待测试协议的可变字段。

非固定的就为可变字段，原则上所有字段都可以看作可变字段

4)根据所述待测试协议的主键、固定字段和可变字段，构造测试用例；

构造单维测试用例：所谓单维就是所发送的协议报文中，只有一个协议字段的值是变化的，其它都不变。

构造多维测试用例：对于很多程序，只有当a与b同时满足时，才会执行到某个分支，而这就是多维FUZZ提出来的原因，也就是说在一个测试用例中有两个以上的协议字段值是变化的，像这样的测试用例就是多维测试用例。

步骤103、运行所述多维测试用例，以所述畸形数据为输入进行测试；

本步骤中，运行多维测试用例进行多维FUZZING。

引擎根据相应的多维测试用例，根据BP畸形数据学***台所得出的畸形数据按权值的高低顺序依次随机生成相应的符合协议格式的畸形数据发送到PLC。

步骤104、在发掘到漏洞时，将造成该漏洞的畸形数据的权值设为最大。

本步骤中，需要调整畸形数据权值反复进行多维模糊测试。

如果某次模糊测试挖掘出漏洞，分析漏洞的畸形数据，然后把这组畸形数据的权值设为最大，因为有更大可能这个协议的其它部分也会有此漏洞。然后重新针对其它测试用例进行多维模糊测试，使用所述畸形数据，进行不同协议下的漏洞挖掘。

下面结合附图，对本发明的实施例二进行说明。

本发明实施例提供了一种漏洞发掘装置，其结构如图3所示，包括：

权值计算模块301，用于计算造成漏洞的畸形数据的权值；

用例构造模块302，用于分析协议脆弱点，根据分析结果构造多维测试用例；

测试模块303，用于运行所述多维测试用例，以所述畸形数据为输入进行测试；

结果执行模块304，用于在发掘到漏洞时，将造成该漏洞的畸形数据的权值设为最大。

本发明的实施例提供了一种漏洞发掘方法和装置，计算造成漏洞的畸形数据的权值，构造多维测试用例，运行所述多维测试用例，以所述畸形数据为输入进行测试，在发掘到漏洞时，将造成该漏洞的畸形数据的权值设为最大。实现了多维漏洞的发现，解决了目前的测试方案无法发掘多个输入元素共同引进的漏洞的问题。

本领域普通技术人员可以理解上述实施例的全部或部分步骤可以使用计算机程序流程来实现，所述计算机程序可以存储于一计算机可读存储介质中，所述计算机程序在相应的硬件平台上(如***、设备、装置、器件等)执行，在执行时，包括方法实施例的步骤之一或其组合。

可选地，上述实施例的全部或部分步骤也可以使用集成电路来实现，这些步骤可以被分别制作成一个个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

上述实施例中的各装置/功能模块/功能单元可以采用通用的计算装置来实现，它们可以集中在单个的计算装置上，也可以分布在多个计算装置所组成的网络上。

上述实施例中的各装置/功能模块/功能单元以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。上述提到的计算机可读取存储介质可以是只读存储器，磁盘或光盘等。

任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求所述的保护范围为准。

Claims (9)

1.一种漏洞发掘方法，其特征在于，包括：

计算造成漏洞的畸形数据的权值；

分析协议脆弱点，根据分析结果构造多维测试用例；

运行所述多维测试用例，以所述畸形数据为输入进行测试；

在发掘到漏洞时，将造成该漏洞的畸形数据的权值设为最大。

2.根据权利要求1所述的漏洞发掘方法，其特征在于，所述计算造成漏洞的畸形数据的权值的步骤包括：

1)对于前馈多层网络，为各层的权系数W_ij置一个较小的非零随机数，其中W_i,n+1＝-θ，所述前馈多层网络每层有n个神经元，i＝1，2，…，n；j＝1，2，…，n；

2)输入一个样本X＝(X₁,X₂…X_n,1)，以及对应期望输出Y＝(Y₁,Y₂…Y_n)；

3)根据以下表达式，计算对于第k层第i个神经元的输出

$X_i^k=f\left(U_i^k\right),$

其中， $U_i^k=\underset{j=1}{\overset{n+1}{\mathrm{\Σ}}}{W}_{\mathrm{ij}}{X}_j^{k-1},X_{n+1}^{k-1}=1,$ W_i,n+1＝-θ；

4)分另计算各层的学习误差包括：

根据以下表达式计算输出层的学习误差，

$d_i^m=X_i^m(1-X_i^m)(X_i^m-Y_i),k=m,$

根据以下表达式计算输出层之外其他各层的学习误差：

$d_i^k=X_i^k(1-X_i^k)\underset{1}{\mathrm{\Σ}}{W}_{1i}{d}_1^{k+1};$

5)根据以下表达式修正权系数W_ij和阀值θ：

$W_{\mathrm{ij}}(t+1)=W_{\mathrm{ij}}\left(t\right)-\mathrm{\η}\·d_i^k\·X_j^{k-1}$

$W_{\mathrm{ij}}(t+1)=W_{\mathrm{ij}}\left(t\right)-\mathrm{\η}\·d_i^k\·X_j^{k-1}+\mathrm{\α\Δ}{W}_{\mathrm{ij}}\left(t\right)$

$\begin{array}{c}{\mathrm{\ΔW}}_{\mathrm{ij}}\left(t\right)=-\mathrm{\η}\·d_i^k\·X_j^{k-1}+{\mathrm{\α\ΔW}}_{\mathrm{ij}}(t-1)\\ =W_{\mathrm{ij}}\left(t\right)-W_{\mathrm{ij}}(t-1)\end{array}$

当求出了各层各个权系数之后，可按给定品质指标判别是否满足要求；

在满足要求时结束计算，在未满足要求时返回步骤3)。

3.根据权利要求2所述的漏洞发掘方法，其特征在于，

对于任一给定的样本X_p＝(X_p1,X_p2…X_pn,1)和期望输出Y_p＝(Y_p1,Y_p2…Y_pn)均执行权值计算。

4.根据权利要求1所述的漏洞发掘方法，其特征在于，所述根据分析结果构造多维测试用例构造多维测试用例包括：

确定待测试协议的主键；

确定所述待测试协议的固定字段；

确定所述待测试协议的可变字段；

根据所述待测试协议的主键、固定字段和可变字段，构造测试用例。

5.根据权利要求4所述的漏洞发掘方法，其特征在于，根据所述待测试协议的主键、固定字段和可变字段，构造测试用例包括：

从所述固定字段和所述可变字段中选择任一字段，改变该字段的值，构造针对该字段的单维测试用例。

6.根据权利要求4所述的漏洞发掘方法，其特征在于，根据所述待测试协议的主键、固定字段和可变字段，构造测试用例包括：

从所述固定字段和所述可变字段中选择多个字段，改变该多个字段的值，构造针对该多个字段的多维测试用例。

7.根据权利要求1所述的漏洞发掘方法，其特征在于，运行所述多维测试用例，以所述畸形数据为输入进行测试包括：

引擎根据相应的多维测试用例，根据畸形数据按权值的高低顺序依次随机生成相应的符合协议格式的畸形数据发送到可编程逻辑控制器PLC进行测试。

8.根据权利要求1所述的漏洞发掘方法，其特征在于，在发掘到漏洞时，将造成该漏洞的畸形数据的权值设为最大的步骤之后，还包括：

使用所述畸形数据，进行不同协议下的漏洞挖掘。

9.一种漏洞发掘装置，其特征在于，包括：

权值计算模块，用于计算造成漏洞的畸形数据的权值；

用例构造模块，用于分析协议脆弱点，根据分析结果构造多维测试用例；

测试模块，用于运行所述多维测试用例，以所述畸形数据为输入进行测试；

结果执行模块，用于在发掘到漏洞时，将造成该漏洞的畸形数据的权值设为最大。