[发明专利]嵌入式设备的协议自动逆向分析的方法及装置

说明书

技术领域

本发明涉及区域网络与逆向工程技术领域，特别涉及一种嵌入式设备的协议自动逆向分析的方法及装置。

背景技术

随着通信技术、嵌入式设备的日趋成熟，已有多公司推出了面向民用的智能产品。由于部分基于无线局域网标准的协议技术具备结构简单、低功耗、低成本、可靠性高和技术成熟的特点，设备厂商大多选择具上述优点的无线协议技术作为民用设备的无线通信技术。

遗憾的是，由于目前尚无无线嵌入式芯片通用通信协议标准，因此各厂商对自己的设备都使用私有通信协议，不同厂商的设备无法互操作。用户如果采购了不同厂商的民用智能设备，则必须同时使用多个厂商的控制系统。

为了实现对这些设备的集中控制，人们必须了解设备的通信协议。目前，已有大量的工作致力于研究逆向分析网络中的通信协议。已有的方法主要包括两类：通过分析协议消息报文实现对通信协议的分析，以及通过分析二进制程序实现对通信协议的分析。然而，由于传统的报文分析大多关注了解协议结构本身，而忽略了对协议报文消息含义的分析；此外，由于采用无线协议的设备大多为嵌入式设备，二进制程序几乎无法获取，无法通过分析二进制程序实现对通信协议的分析。并且，传统对于民用智能产品消息报文的分析是基于手动截取，人工分析的，自动化程度低。事实上，在民用智能产品的协议逆向分析中，人们更关注如何通过逆向分析实现对异构协议设备的集中控制，因此在这种情况下，分析协议报文消息的含义就显得尤为重要。

发明内容

（一）要解决的技术问题

本发明的目的在于解决传统由于传统的报文分析大多关注了解协议结构本身，而忽略了对协议报文消息含义分析、并且自动化程度不高的问题。

（二）技术方案

本发明采用以下技术方案：

一种嵌入式设备的协议自动逆向分析的方法，包括以下步骤：

1）对消息报文进行聚类分析，找出相同类型的消息报文；

2）对已找出的相同类型的消息报文进行比对，找出消息报文中固定的部分与变化的部分，得到消息报文的格式；

3）对已得到消息报文格式的消息报文序列进行时序分析，设定阈值，并找出时间间隔低于阈值的消息报文，将其关联为一组；

4）使用传感器采集环境数据，对比已关联消息报文中的一组消息报文序列的时间戳，标注语意信息。

优选的，所述步骤1）包括以下步骤：

使用基于n-gram的距离定义，得到距离矩阵；

使用层次聚类方法聚类，得到相同类型的报文。

进一步的，所述的使用基于n-gram的距离定义，得到距离矩阵的方法为，

记n_s表示两个消息报文的n-gram元组的最长公共子序列的长度，n_t表示两个消息报文的n-gram元组的总数，距离的计算公式为：

d=(1-nsnt)2.]]>

更进一步的，所述的使用层次聚类方法聚类，得到相同类型的报文的方法为，使用层次聚类方法，对已得到的距离矩阵进行聚类分析，得到聚类树，选取树中恰当的层次，输出聚类结果。

优选的，所述步骤2）包括以下步骤：

使用基于评分策略的动态规划算法，计算比对得分的最大值；

根据比对得分的最大值计算过程，生成初步比对结果；

对初步比对结果进行合并，生成最终比对结果。

进一步的，所述的使用基于评分策略的动态规划算法，计算比对得分的最大值的方法为，

记n个序列为x₁,x₂,…,x_n，第i个序列的第j个字符为x_i,j，s[t₁,t₂,…,t_n]表示n个序列前缀的比对得分的最大值，则