隨著互聯(lián)網(wǎng)的高速發(fā)展,SOHO路由器得到了進一步的普及。作為家庭及小型辦公網(wǎng)絡環(huán)境中的核心設備,一旦路由器被植入后門,則所有接入設備都將面臨網(wǎng)絡數(shù)據(jù)監(jiān)聽、篡改,敏感信息竊取、泄漏等風險。因此,研究SOHO路由器后門的實現(xiàn)技術(shù),有利于了解針對路由器設備的后門技術(shù)特點和設計方法,掌握其發(fā)展趨勢,從而為SOHO路由器后門的檢測和防范提供技術(shù)支撐,對提高SOHO路由器的安全性、健壯性,保障網(wǎng)絡空間安全有重要意義。本文主要針對SOHO路由器后門的設計和檢測防御兩方面開展研究,分析對比了針對桌面及服務器主機類型的傳統(tǒng)后門與針對SOHO路由器的后門在技術(shù)、功能等方面的差異,研究了SOHO路由器在植入、隱藏、遠控、應用四個方面的技術(shù)特點,并相應探討了后門檢測中的固件分析提取、串口連接、靜態(tài)審計以及動態(tài)檢測的技術(shù)要點。同時,本文設計了一套由控制端和受控端組成的完整SOHO路由器后門原型系統(tǒng),并對系統(tǒng)中的遠程通信、命令執(zhí)行、后門隱藏等多個方面在具體實現(xiàn)上的關(guān)鍵點和難點進行了詳細介紹。結(jié)合后門原型系統(tǒng),本文對SOHO路由器后門分析檢測技術(shù)進行了對比分析,明確了靜態(tài)審計和動態(tài)檢測的具體流程,并依據(jù)該流程完成多... 

【文章來源】：上海交通大學上海市211工程院校985工程院校教育部直屬院校

【文章頁數(shù)】：90 頁

【學位級別】：碩士

【部分圖文】：

D-Link路由器特殊User-Agent后門全球分布

3. 根文件系統(tǒng)。嵌入式系統(tǒng)一般以 ramdisk 的方式實現(xiàn)通用操作系統(tǒng)中的硬盤功能。即在RAM 中劃分一塊不與內(nèi)核映像位置沖突的內(nèi)存模擬硬盤功能，隨后將 ramdisk 作為設備安裝為根文件系統(tǒng)。對 ramdisk 的操作與硬盤這樣的永久存儲器效果一致，但考慮到系統(tǒng)穩(wěn)定性，對 ramdisk 的操作一般不會寫回閃存中，因此系統(tǒng)斷掉后，修改將會消失。常見的SOHO路由器根文件系統(tǒng)格式一般包括rootfs，cpio、squashfs等等。4. NVRAM。NVRAM（Non-Volatile Random-Access Memory）意為非易失隨機存儲器，即在斷電后仍能保存數(shù)據(jù)信息。由于對 ramdisk 的操作不會影響閃存中真正存儲的系統(tǒng)內(nèi)核映像和根文件系統(tǒng)，因此 SOHO 路由器一般在 NVRAM 中保存路由器配置文件信息，并在系統(tǒng)每次上電后從 NVRAM 中讀取配置信息，對路由器進行相應的設置。在設備運行過程中，用戶對路由器設置的修改將會寫回 NVRAM 中，從而實現(xiàn)配置更新。圖 2-4 展示了獲取路由器交互 shell 后，利用命令讀取設備NVRAM 中存儲的用戶名、密碼等關(guān)鍵信息配置。

圖 4-2 SOHO 路由器固件 析流程Fig.4-2 Page setting graph of paper為了進一步檢測非預期端口監(jiān)聽的功能，以及為了防止 SOHO 路由器后門將網(wǎng)絡通信隱藏在正常監(jiān)聽的端口服務中，因此還需要進一步對開放的端口進行模糊測試，以檢測是否存在非預期的功能。端口模糊測試旨在充分利用計算機的自動化測試能力，從執(zhí)行流程來講，如圖 4-3 所示主要分為 3 個階段：1) 針對特定端口預期的服務類型構(gòu)造隨機的請求內(nèi)容，模糊測試的檢測覆蓋率，很大程度上取決于準確的確定輸入向量，如一般在 80、8080 端口提供的 HTTP服務而言，測試的輸入向量需要包括 GET、POST、PUT、DELETE 等多種請求方法。進一步的，在測試期間，需要根據(jù)算法和返回響應動態(tài)地進行變異，以實現(xiàn)自動化的測試數(shù)據(jù)生成。2) 發(fā)送至相應的路由器端口，記錄每一組請求和響應對。與測試數(shù)據(jù)的生成一樣，數(shù)據(jù)的發(fā)送與測試結(jié)果的記錄同樣需要以自動化方式開展。3) 在采集到足夠的系統(tǒng)輸入輸出數(shù)據(jù)對后，即可根據(jù)規(guī)則檢測區(qū)分不同的請求處理行為，檢測其中產(chǎn)生的異常、錯誤的響應集合，分析與正常請求產(chǎn)生差異

【參考文獻】：
期刊論文
[1]Software Backdoor Analysis Based on Sensitive Flow Tracking and Concolic Execution[J]. XU Xin,WANG Jiajie,CHENG Shaoyin,ZHANG Tao,JIANG Fan.  Wuhan University Journal of Natural Sciences. 2016(05)
[2]SOHO路由器脆弱性的分析和驗證[J]. 李翔豪,王軼駿,薛質(zhì).  信息安全與通信保密. 2016(08)
[3]基于JTAG的嵌入式設備固件分析技術(shù)[J]. 趙亞新,郭玉東,舒輝.  計算機工程與設計. 2014(10)
[4]2013年國際網(wǎng)絡空間安全建設動態(tài)綜述[J]. 葉蕾,王玉蓉.  信息安全與通信保密. 2014(01)
[5]無文件系統(tǒng)嵌入式固件后門檢測[J]. 忽朝儉,薛一波,趙糧,李舟軍.  通信學報. 2013(08)
[6]“棱鏡門”暴露大數(shù)據(jù)時代隱私危機[J]. 李娜.  科技導報. 2013(18)
[7]基于DNS協(xié)議的隱蔽信道研究[J]. 谷傳征,王軼駿,薛質(zhì).  信息安全與通信保密. 2011(12)
[8]后門植入、隱藏與檢測技術(shù)研究[J]. 孫淑華,馬恒太,張楠,卿斯?jié)h,王曉翠.  計算機應用研究. 2004(07)

博士論文
[1]固件代碼逆向分析關(guān)鍵技術(shù)研究[D]. 蔣烈輝.解放軍信息工程大學 2007

碩士論文
[1]嵌入式設備固件分析的關(guān)鍵技術(shù)研究[D]. 鮑慶國.北京工業(yè)大學 2016
[2]隱藏型后門程序設計與實現(xiàn)[D]. 朱文杰.北京郵電大學 2006
[3]惡意代碼設計和分析技術(shù)的研究與實現(xiàn)[D]. 王德強.清華大學 2005



本文編號：3622542