郭亮， 罗森林， 潘丽敏

(北京理工大学 信息系统及安全对抗实验中心， 北京 100081)



基于相似度匹配的网络协议语法分析方法

郭亮， 罗森林， 潘丽敏

(北京理工大学 信息系统及安全对抗实验中心， 北京 100081)

为解决网络协议语法分析方法中，依赖人工干预、分析效率低下、分析范围较小等问题，提出一种基于相似度匹配的网络协议语法分析方法. 通过嗅探采集网络原始数据包，解析基础协议并对数据包进行预处理，提取9维不同角度的特征，建立了网络协议语法相似分析模型，分析网络协议细节语法特征. 通过将TCP协议作为已知协议，对UDP、DNS、QQ等3种不同类型的协议测试，结果表明这3类协议报头中，33%以上的字段能在TCP协议中找到对应的相似语法，而且平均准确率均在96%以上，该方法不需人工干预，可以提高分析效率、减少限制条件、扩大分析范围，并能较为有效地分析出网络协议语法特征.

协议语法分析；协议逆向；相似度匹配

网络协议语法分析在网络安全中地位越来越重要，涉及到入侵检测[1]、漏洞挖掘[2]、协议重用[3]等. 目前主要采用协议逆向分析的手段实现协议语法信息的提取，可分为两类，基于流量跟踪进行分析和基于指令执行进行分析. PAN-Fan等[4]对这两类方法进行了比较，后者逆向能力和准确度优于前者，而前者限制条件和分析速度由于后者.

基于流量跟踪分析的协议逆向方法，最早是Marshall Beddoe[5]启动的PI(protocol information)项目来分析未知或者未公开的网络协议的结构. CUI等[6]提出……