NetExtractor：基于网络轨迹的未知协议逆向方法

摘要

网络协议逆向工程是许多安全领域面临的重要挑战.当前主流方法是对网络轨迹间的字符和令牌进行比对切分，但现有工作在推导时受限于二进制协议字段取值差异高、状态复杂等特性，存在格式过度切分和多状态字段标注精度低等问题.基于此，本文提出NetExtractor工具，集成格式提取优化方法和状态标注优化方法 .在格式提取阶段，提取网络轨迹时空特性进行粗聚类，而后进行多序列比对，利用统计特性进行优化合并，进一步提高格式提取的精准度.在状态标注阶段，引入编辑距离衡量字段间差异，结合随机森林和统计特性对候选状态字段进行约束，提升多状态字段标注精度.为验证该方法的有效性，本文使用NetExtractor工具对僵尸网络zeroaccess协议的格式和状态机进行自动化逆向，并在8个常用协议上开展评估实验验证方法效率，实验表明与领域最领先研究工作相比，NetExtractor可提升协议格式和协议状态识别准确度，对网络安全分析具有较大意义.

关键词

协议逆向 / 网络轨迹 / 协议格式 / 状态标注