[发明专利]一种网络流量ROP链定位方法、装置、设备及存储介质

说明书

本申请公开了一种网络流量ROP链定位方法、装置、设备及存储介质，涉及网络安全领域，包括：对网络流量进行采样得到若干个待检测字节序列；统计待检测字节序列中不同字节数值个数，以得到与待检测字节序列对应的类化值；利用预设ROP链检测模型对类化值小于预设类化阈值的待检测字节序列进行检测得到可疑字节序列；对所有可疑字节序列对应的位置坐标进行筛选以确定出最终的ROP链定位结果。这样一来，本申请通过类化值筛选、ROP链检测模型检测以及位置坐标筛选的多次处理可以精准定位网络流量中的ROP链，提高了ROP链定位结果的精确性；并且可以解决工作人员对ROP流量进行分析时需要在数据包中逐字节分析导致工作量过大的问题，提高了网络安全分析的效率。

技术领域

本发明涉及网络安全领域，特别涉及一种网络流量ROP链定位方法、装置、设备及存储介质。

背景技术

当前对ROP链定位的研究还比较初步，主要是应用ROP链中的ROP Gadget地址固定分布在某几个特殊的区域(动态链接库和.text段等)，通过字节是否分布在该区域判定流量中该字节是否可能是ROP Gadget首字节，并利用滑动取或完成ROP链的定位。这样会存在一定的精度问题，在目前的方法假设ROP Gadget地址分布在一个特定的范围，然而这个地址范围选择一般在动态链接库和程序的.text段，地址范围分布较大，直接通过某些字节是否分布在某区域进行定位可能会造成一些误差。

发明内容

有鉴于此，本发明的目的在于提供一种网络流量ROP链定位方法、装置、设备及存储介质，能够得到精准的ROP链定位结果。其具体方案如下：

第一方面，本申请提供了一种网络流量ROP链定位方法，包括：

对网络流量进行采样得到若干个待检测字节序列；

统计所述待检测字节序列中不同字节数值个数，以得到与所述待检测字节序列对应的类化值；

利用预设ROP链检测模型对类化值小于预设类化阈值的待检测字节序列进行检测得到可疑字节序列；

对所有所述可疑字节序列对应的位置坐标进行筛选以确定出最终的ROP链定位结果。

可选的，所述对网络流量进行采样得到若干个待检测字节序列，包括：

根据预设通道采样方式对网络流量进行采样得到通道字节序列；

基于预设滑动窗口大小对所述通道字节序列进行滑动采样以得到所述待检测字节序列，并记录与所述待检测字节序列对应的位置信息。

可选的，所述根据预设通道采样方式对网络流量进行采样得到通道字节序列，包括：

基于间隔为3的方式对网络流量进行4次采样以得到四通道的所述通道字节序列；

或，基于间隔为7的方式对网络流量进行8次采样以得到八通道的所述通道字节序列。

可选的，所述利用预设ROP链检测模型对类化值小于预设类化阈值的待检测字节序列进行检测之前，还包括：

利用One-Hot编码对现有ROP序列集以及正常序列集进行处理得到ROP链数据集以及正常流量数据集；

利用所述ROP链数据集和所述正常流量数据集进行对预设神经网络进行训练得到所述预设ROP链检测模型。

可选的，所述利用One-Hot编码对现有ROP序列集以及正常序列集进行处理得到ROP链数据集以及正常流量数据集之前，还包括：

提取现有ROP链的首字节以得到首字节序列数组，并对若干个所述首字节序列数组进行内部随机化扩展处理得到扩展后序列数组；

将单个所述扩展后序列数组的前预设数量个字节作为候选序列数组；