隨著互聯(lián)網(wǎng)的高速發(fā)展,SOHO路由器得到了進(jìn)一步的普及。作為家庭及小型辦公網(wǎng)絡(luò)環(huán)境中的核心設(shè)備,一旦路由器被植入后門(mén),則所有接入設(shè)備都將面臨網(wǎng)絡(luò)數(shù)據(jù)監(jiān)聽(tīng)、篡改,敏感信息竊取、泄漏等風(fēng)險(xiǎn)。因此,研究SOHO路由器后門(mén)的實(shí)現(xiàn)技術(shù),有利于了解針對(duì)路由器設(shè)備的后門(mén)技術(shù)特點(diǎn)和設(shè)計(jì)方法,掌握其發(fā)展趨勢(shì),從而為SOHO路由器后門(mén)的檢測(cè)和防范提供技術(shù)支撐,對(duì)提高SOHO路由器的安全性、健壯性,保障網(wǎng)絡(luò)空間安全有重要意義。本文主要針對(duì)SOHO路由器后門(mén)的設(shè)計(jì)和檢測(cè)防御兩方面開(kāi)展研究,分析對(duì)比了針對(duì)桌面及服務(wù)器主機(jī)類型的傳統(tǒng)后門(mén)與針對(duì)SOHO路由器的后門(mén)在技術(shù)、功能等方面的差異,研究了SOHO路由器在植入、隱藏、遠(yuǎn)控、應(yīng)用四個(gè)方面的技術(shù)特點(diǎn),并相應(yīng)探討了后門(mén)檢測(cè)中的固件分析提取、串口連接、靜態(tài)審計(jì)以及動(dòng)態(tài)檢測(cè)的技術(shù)要點(diǎn)。同時(shí),本文設(shè)計(jì)了一套由控制端和受控端組成的完整SOHO路由器后門(mén)原型系統(tǒng),并對(duì)系統(tǒng)中的遠(yuǎn)程通信、命令執(zhí)行、后門(mén)隱藏等多個(gè)方面在具體實(shí)現(xiàn)上的關(guān)鍵點(diǎn)和難點(diǎn)進(jìn)行了詳細(xì)介紹。結(jié)合后門(mén)原型系統(tǒng),本文對(duì)SOHO路由器后門(mén)分析檢測(cè)技術(shù)進(jìn)行了對(duì)比分析,明確了靜態(tài)審計(jì)和動(dòng)態(tài)檢測(cè)的具體流程,并依據(jù)該流程完成多... 

【文章來(lái)源】：上海交通大學(xué)上海市211工程院校985工程院校教育部直屬院校

【文章頁(yè)數(shù)】：90 頁(yè)

【學(xué)位級(jí)別】：碩士

【部分圖文】：

D-Link路由器特殊User-Agent后門(mén)全球分布

3. 根文件系統(tǒng)。嵌入式系統(tǒng)一般以 ramdisk 的方式實(shí)現(xiàn)通用操作系統(tǒng)中的硬盤(pán)功能。即在RAM 中劃分一塊不與內(nèi)核映像位置沖突的內(nèi)存模擬硬盤(pán)功能，隨后將 ramdisk 作為設(shè)備安裝為根文件系統(tǒng)。對(duì) ramdisk 的操作與硬盤(pán)這樣的永久存儲(chǔ)器效果一致，但考慮到系統(tǒng)穩(wěn)定性，對(duì) ramdisk 的操作一般不會(huì)寫(xiě)回閃存中，因此系統(tǒng)斷掉后，修改將會(huì)消失。常見(jiàn)的SOHO路由器根文件系統(tǒng)格式一般包括rootfs，cpio、squashfs等等。4. NVRAM。NVRAM（Non-Volatile Random-Access Memory）意為非易失隨機(jī)存儲(chǔ)器，即在斷電后仍能保存數(shù)據(jù)信息。由于對(duì) ramdisk 的操作不會(huì)影響閃存中真正存儲(chǔ)的系統(tǒng)內(nèi)核映像和根文件系統(tǒng)，因此 SOHO 路由器一般在 NVRAM 中保存路由器配置文件信息，并在系統(tǒng)每次上電后從 NVRAM 中讀取配置信息，對(duì)路由器進(jìn)行相應(yīng)的設(shè)置。在設(shè)備運(yùn)行過(guò)程中，用戶對(duì)路由器設(shè)置的修改將會(huì)寫(xiě)回 NVRAM 中，從而實(shí)現(xiàn)配置更新。圖 2-4 展示了獲取路由器交互 shell 后，利用命令讀取設(shè)備N(xiāo)VRAM 中存儲(chǔ)的用戶名、密碼等關(guān)鍵信息配置。

圖 4-2 SOHO 路由器固件 析流程Fig.4-2 Page setting graph of paper為了進(jìn)一步檢測(cè)非預(yù)期端口監(jiān)聽(tīng)的功能，以及為了防止 SOHO 路由器后門(mén)將網(wǎng)絡(luò)通信隱藏在正常監(jiān)聽(tīng)的端口服務(wù)中，因此還需要進(jìn)一步對(duì)開(kāi)放的端口進(jìn)行模糊測(cè)試，以檢測(cè)是否存在非預(yù)期的功能。端口模糊測(cè)試旨在充分利用計(jì)算機(jī)的自動(dòng)化測(cè)試能力，從執(zhí)行流程來(lái)講，如圖 4-3 所示主要分為 3 個(gè)階段：1) 針對(duì)特定端口預(yù)期的服務(wù)類型構(gòu)造隨機(jī)的請(qǐng)求內(nèi)容，模糊測(cè)試的檢測(cè)覆蓋率，很大程度上取決于準(zhǔn)確的確定輸入向量，如一般在 80、8080 端口提供的 HTTP服務(wù)而言，測(cè)試的輸入向量需要包括 GET、POST、PUT、DELETE 等多種請(qǐng)求方法。進(jìn)一步的，在測(cè)試期間，需要根據(jù)算法和返回響應(yīng)動(dòng)態(tài)地進(jìn)行變異，以實(shí)現(xiàn)自動(dòng)化的測(cè)試數(shù)據(jù)生成。2) 發(fā)送至相應(yīng)的路由器端口，記錄每一組請(qǐng)求和響應(yīng)對(duì)。與測(cè)試數(shù)據(jù)的生成一樣，數(shù)據(jù)的發(fā)送與測(cè)試結(jié)果的記錄同樣需要以自動(dòng)化方式開(kāi)展。3) 在采集到足夠的系統(tǒng)輸入輸出數(shù)據(jù)對(duì)后，即可根據(jù)規(guī)則檢測(cè)區(qū)分不同的請(qǐng)求處理行為，檢測(cè)其中產(chǎn)生的異常、錯(cuò)誤的響應(yīng)集合，分析與正常請(qǐng)求產(chǎn)生差異

【參考文獻(xiàn)】：
期刊論文
[1]Software Backdoor Analysis Based on Sensitive Flow Tracking and Concolic Execution[J]. XU Xin,WANG Jiajie,CHENG Shaoyin,ZHANG Tao,JIANG Fan.  Wuhan University Journal of Natural Sciences. 2016(05)
[2]SOHO路由器脆弱性的分析和驗(yàn)證[J]. 李翔豪,王軼駿,薛質(zhì).  信息安全與通信保密. 2016(08)
[3]基于JTAG的嵌入式設(shè)備固件分析技術(shù)[J]. 趙亞新,郭玉東,舒輝.  計(jì)算機(jī)工程與設(shè)計(jì). 2014(10)
[4]2013年國(guó)際網(wǎng)絡(luò)空間安全建設(shè)動(dòng)態(tài)綜述[J]. 葉蕾,王玉蓉.  信息安全與通信保密. 2014(01)
[5]無(wú)文件系統(tǒng)嵌入式固件后門(mén)檢測(cè)[J]. 忽朝儉,薛一波,趙糧,李舟軍.  通信學(xué)報(bào). 2013(08)
[6]“棱鏡門(mén)”暴露大數(shù)據(jù)時(shí)代隱私危機(jī)[J]. 李娜.  科技導(dǎo)報(bào). 2013(18)
[7]基于DNS協(xié)議的隱蔽信道研究[J]. 谷傳征,王軼駿,薛質(zhì).  信息安全與通信保密. 2011(12)
[8]后門(mén)植入、隱藏與檢測(cè)技術(shù)研究[J]. 孫淑華,馬恒太,張楠,卿斯?jié)h,王曉翠.  計(jì)算機(jī)應(yīng)用研究. 2004(07)

博士論文
[1]固件代碼逆向分析關(guān)鍵技術(shù)研究[D]. 蔣烈輝.解放軍信息工程大學(xué) 2007

碩士論文
[1]嵌入式設(shè)備固件分析的關(guān)鍵技術(shù)研究[D]. 鮑慶國(guó).北京工業(yè)大學(xué) 2016
[2]隱藏型后門(mén)程序設(shè)計(jì)與實(shí)現(xiàn)[D]. 朱文杰.北京郵電大學(xué) 2006
[3]惡意代碼設(shè)計(jì)和分析技術(shù)的研究與實(shí)現(xiàn)[D]. 王德強(qiáng).清華大學(xué) 2005



本文編號(hào)：3622542