一种基于长度语义约束的报文格式挖掘方法.PDF

2012年12月 北 京 邮 电 大 学 学 报 Dec.2012 第35卷 第6期 Journal of Beijing University of Posts and Telecommunications Vol.35 No.6 摇 摇 文章编号:1007鄄5321(2012)06鄄0055鄄05 一种基于长度语义约束的报文格式挖掘方法 1 2 1 张摇 钊 ,摇 唐摇 文 ,摇 温巧燕 (1郾 北京邮电大学 网络与交换技术国家重点实验室,北京 100876;2郾 西门子(中国)研究院,北京 100102) 摘要:为了获得未知报文的格式,提出了基于长度语义约束的报文格式挖掘方法,该方法建立在多序列比对方法的 基础上,通过对报文片段之间及其内部迭代地使用长度字段扫描算法来推断报文中的长度字段及其指称字段 (组),进而获得未知协议报文的层次结构. 实验结果显示出新算法的有效性:以SNMP V1报文(GetNextRequest和 GetResponse)为例,对长度字段挖掘的漏报率为9郾1%,误报率分别为16郾7%和23郾1%,获得的报文结构与协议规 范也基本一致. 关摇 键摇 词:长度字段;报文格式;协议规范挖掘;协议逆向工程;多序列比对 中图分类号:TP393郾08摇 摇 摇 摇 文献标志码:A A Length Semantic Constraints Based Approach for Mining Packet Formats of Unknown Protocols 1 2 1 ZHANGZhao ,摇 TANG Wen ,摇 WEN Qiao鄄yan (1郾State Key Laboratory of Networking and Switching Technology,Beijing University of Posts and Telecommunications,Beijing 100876,China; 2郾IT Security,Cooperate Technology,Siemens (China) Ltd,Beijing 100102,China) Abstract:In order to get the format of unknown protocols,a length semantic constraints based packet format mining method is proposed based on length semantic constraints. First,multiple sequence align鄄 ment method is appliedtopartition apacket into segments. Then,alength identification algorithmisuti鄄 lized to scan the segments separately to infer length fields and corresponding referred field(s). At last, the format (hierarchy structure) of the packetsisobtained. Experimentsdemonstrate the effectivenessof this method:the false negative rates of length fieldsfor GetNextRequest and GetResponse of s