基于网络协议逆向分析的远程控制木马漏洞挖掘.pdf

第42卷 第2期 计 算 机 工 程 2016年2月 Vo1．42 No．2 ComputerEngineering February2016 · 安全技术 · 文章编号：1000-3428(2016)02-0146-05 文献标识码：A 中图分类号：TP393．08 基于网络协议逆 向分析的远程控制木马漏洞挖掘 潘道欣 ，王轶骏 ，薛 质 (上海交通大学 电子信息与电气工程学院，上海 200240) 摘 要：为防范持续性威胁攻击中的远程控制木马，提出一种主动防御思路，即针对不公开源代码和网络协议的木 马程序进行漏洞挖掘和瘫痪攻击 。使用广义后缀树和分层次聚类等数据挖掘算法逆 向分析木马网络协议的特征， 自动构造其协议格式。将其与Fuzz测试框架相结合，通过导入之前逆 向分析得出的协议格式 自动生成 Fuzz的配 置文件，从而较大程度地提高模糊测试和漏洞挖掘效率。经过一系列针对实际远程控制木马程序的测试 ，发现若 干木马控制端的漏洞 ，从而说明该远程控制木马漏洞挖掘方法是可行 、有效的，并具有一定创新性 。 关键词：远程控制木马 ；网络协议逆 向分析 ；Fuzz测试；漏洞挖掘；瘫痪攻击 中文引用格式 ：潘道欣 ，王轶骏 ，薛 质 ．基于 网络协议逆 向分析 的远程控制木马漏洞挖掘 [J]．计算机工程 ，2016， 42(2)：146—150，156． 英文 引用格式 ：PanDaoxin，WangYijun，XueZhi．RemoteControlTrojanVulnerabilityMiningBasedonReverse AnalysisofNetworkProtocol[J]．ComputerEngineering，2016，42(2)：146—150，156． RemoteControlTrojanVulnerabilityMiningBasedon ReverseAnalysisofNetwork Protocol PANDaoxin，WANGYijun，XUEZhi (SchoolofElectronicInformationandElectricalEngineering，ShanghaiJiaotongUniversity，Shanghai200240，China) 【Abstract】InviewofTrojan’scontrolofthepopularAdvancedPersistentThreat(APT)attack’smethod，thispaper presentsanactivedefenseidea，namelyforfuzzingandparalysisattackofclosedsourcecodeTrojan．Itusesgeneralized suffixtreeandhierarchicalclusteringalgorithm tolearncharacteristicsofTrojan’snetworktraffictoconstructprotocol format．Then itcombinesPeachwiththisFuzzframework，automaticallygeneratingconfigurationfileofFuzztestthrough theprotocolformat，soastolargelyenhanceefficiencyofFuzztest．AfteraseriesofteststhroughremotecontrolTrojan， itsuccessfullydiscoversseveralTrojan’svulnerabilities，whichillustratesthattheremotecontrolTrojanvulnerability miningmethodisakind ofinnovativeand effectivesolution． 【Keywords】remotecontroltrojan；reverseanalysisofnetworkpr