[发明专利]一种基于DD报文漏洞的OSPF协议安全性测试方法

说明书

本发明公开了一种基于DD报文漏洞的OSPF协议安全性测试方法，属于网络安全技术领域。本发明包含两种攻击测试手段，分别为基于DD报文重放的DOS攻击方式和基于OSPF协议状态的虚假信息注入方式。本发明利用OSPF协议在DD报文处理上存在的漏洞，测试OSPF协议的安全性，适用于网络测试设备中需要对路由器进行路由协议安全性测试的应用场景。

技术领域

本发明涉及网络安全技术领域，特别是指一种基于DD报文漏洞的OSPF协议安全性测试方法，可用于对路由器进行路由协议安全性测试。

背景技术

随着Internet的广泛使用和网络攻击技术的发展，入侵事件变得越来越频繁，攻击手段变得越来越高明，攻击不再仅仅局限在利用TCP/IP协议的一些漏洞对用户计算机终端发起，路由器、交换机等网络基础设施现在也成为黑客的入侵目标。路由器作为网际互联设备，是连接内部可信网络和外部非信任网络的枢纽节点，路由器系统是国际互联网的主要组成部分，路由器的可靠性和安全性直接关系到网络的性能和数据信息的安全。但是，至今这些安全问题并未引起人们的足够重视，针对路由器的攻击呈现出快速增长的趋势，而对这些新的攻击手段的安全性测试方法却没有同步跟上，路由器无法增加针对性的安全防护措施。

通用的网络测试仪是路由器测试的主要仪器，但其一般只能进行协议一致性的测试，支持协议安全性测试的较少。网络测试仪支持的协议安全性测试主要采用协议报文字段边界值或畸形报文的方式，一般路由器在协议实现时针对这两种方式的安全测试已经做了安全检测。而网络入侵是利用协议的漏洞实施的，采用的协议报文均为合法的报文，路由器一般难以检测。因此传统的网络协议测试方法已经不能够满足当前路由器安全性测试的需要。

发明内容

有鉴于此，本发明提出一种基于DD报文漏洞的OSPF协议安全性测试方法，该方法可利用OSPF协议在DD报文处理上存在的漏洞对路由器进行OSPF协议安全性的测试。

为了实现上述目的，本发明所采取的技术方案为：

一种基于DD报文漏洞的OSPF协议安全性测试方法，应用于具有虚拟路由器的测试主机，包括以下步骤：

（1）发送Hello报文发现目标路由器，与目标路由器通过OSPF协议建立连接；

（2）获取目标路由器的Hello报文，从中解析出路由器ID、区域ID、路由器能力选项、路由器优先级、指定路由器地址、备份路由器地址、邻居列表及距离字段，根据这些字段构造出用于测试的OSPF协议DD报文，并将DD报文中的LSA字段设置为随机字段；

（3）以无状态方式向目标路由器大量发送步骤（2）所构造出的DD报文，完成对目标路由器的无状态攻击测试。

一种基于DD报文漏洞的OSPF协议安全性测试方法，应用于具有虚拟路由器的测试主机，包括以下步骤：

（1）发送Hello报文发现目标路由器，与目标路由器通过OSPF协议建立连接；

（2）获取目标路由器的Hello报文，从中解析出路由器ID、区域ID、路由器能力选项、路由器优先级、指定路由器地址、备份路由器地址、邻居列表及距离字段，根据这些字段构造出用于测试的OSPF协议DD报文，此外，生成多个LSA头部并填入DD报文中，同一DD报文中的LSA头部各不相同，不同DD报文中的LSA头部也不相同；

（3）当测试主机与目标路由器进入EXSTART/EXCHANGE状态时，向目标路由器连续、大量地发送步骤（2）所构造出的DD报文，完成对目标路由器的有状态攻击测试。

进一步的，所述步骤（3）连续发送的DD报文中，除最后一个DD报文中的多比特设置位设为0外，其他DD报文中的多比特设置位均设为1。

进一步的，所述步骤（2）中，LSA头部以随机方式或线性递增方式生成。