[发明专利]一种基于主动学习的工控协议逆向分析方法

权利要求书

1.一种基于主动学习的工控协议逆向分析方法，其特征在于，包括如下步骤：

S1、导入：将pcap文件中的报文数据导入，并将报文数据全部加载到报文数据集OriginalSet中；

S2、初步分析：对算法对报文数据集OriginalSet中的报文进行逆向分析，得到初步的工控协议格式和状态机；

S3、变异：根据初步得到的分析结果，对协议格式中的功能码字段进行变异，产生新的报文；

S4、匹配：通过交互式主动学习，将响应报文与初步分析结果中的协议格式进行匹配，筛选出与已有协议格式不匹配的报文加入到报文数据集NewSet中；

S5、合并：将主动学习后的报文进行逆向分析，并将分析后的结果与初步分析结果进行合并，得到完整的分析结果。

2.根据权利要求1所述的一种基于主动学习的工控协议逆向分析方法，其特征在于：在步骤S1中，运行环境为Intel-Windows架构的PC机以及运行了工控协议服务器端程序的工控机和格式为pcap类型的样本数据集，并采用wireshark工具通过抓包的方式获得。

3.根据权利要求1所述的一种基于主动学习的工控协议逆向分析方法，其特征在于：在步骤S2中，对算法对报文数据集OriginalSet中的报文进行逆向分析，其中，对协议进行逆向分析时采用了Needleman-Wunsch序列比对算法，通过相似度计分以及最优回溯推断协议的格式和状态机。

4.根据权利要求1所述的一种基于主动学习的工控协议逆向分析方法，其特征在于：在步骤S4中，利用新的报文与工控机进行交互式主动学习，不断获取新的报文，具体步骤包括：

a、将新产生的报文发送给工控机，并接收工控机的响应报文；

b、将响应报文与初步分析结果中的协议格式进行匹配，判断报文是否与这些协议格式相匹配，若匹配进行步骤d，反之进行步骤c；

c、将工控机的响应报文加入到NewSet集合中；

d、判断主动学习过程是否结束，若结束完成主动学习，反之返回步骤a。

5.根据权利要求1所述的一种基于主动学习的工控协议逆向分析方法，其特征在于：在步骤S5中，将主动学习后，通过再次采用Needleman-Wunsch序列比对算法对报文数据集NewSet中的报文进行逆向分析，得到新的工控协议格式和状态机，并将分析后的结果与初步分析结果进行合并。