无文件系统嵌入式固件后门检测Backdoordetectioninembedded.PDFVIP

第 34 卷第 8 期 通 信 学 报 Vol.34 No. 8 2013 年 8 月 Journal on Communications August 2013 doi:10.3969/j .issn.1000-436x.2013.08.018 无文件系统嵌入式固件后门检测 忽朝俭 1,2 ，薛一波 1 ，赵粮 2 ，李舟军 3 (1. 清华大学 信息技术研究院，北京 100084 ；2. 绿盟科技，北京 100089 ；3. 北京航空航天大学 计算机学院，北京 100191) 摘 要：在无文件系统嵌入式固件 中，系统代码和应用代码集成在单个文件 中，无法看到熟悉 系统调用名字， 故针对此类 固件 分析将更为困难 。以此类 固件为研究对象，分析了其 中 库函数识别 问题，并提 出了一种针对 网络套接字和字符 串/ 内存操作函数 基于启发式规则 识别方法 。在此基础上，讨论了多种典型 后 门类型检测 问题，包括未授权侦听者、非预期功能、隐藏功能和 向外 连接请求等，并在一款实际系统上成功检测出多个后 门 （其 中有一个严重级别 ）。实验结果表 明，提 出 针对无文件系统嵌入式固件 库函数识别方法对于此类 固 件 安全分析具有重要 参考价值 。 关键词：嵌入式系统；固件 ；文件系统；库函数识别；后 门检测 中图分类号：TP311.1 文献标识码：B 文章编号：1000-436X(2013)08-0140-06 Backdoor detection in embedded system firmware without file system 1,2 1 2 3 HU Chao-j ian , XUE Yi-bo , ZHAO Liang , LI Zhou-jun (1. Research nstitute of nformation Technology, Tsinghua University, Beij ing 100084, China ；2. NSFOCUS, Beij ing 100089, China; 3. School of Computer Science Engineering, Beihang University, Beij ing 100191, China) Abstract: Any embedded system firmware wit out file system will integrate its system code and user application code into a single file. T is setting as broug t some additional difficulties to analyze t em. Aimed at t is kind of firmware,