网络与信息安全学报 ›› 2018, Vol. 4 ›› Issue (12): 54-61.doi: 10.11959/j.issn.2096-109x.2018099

• 学术论文 • 上一篇    下一篇

基于协议逆向的移动终端通信数据解析

张明远1,祁欣妤2(),宋宇波2,顾荣荣2,胡爱群2,朱珍超2   

  1. 1 国家无线电监测中心检测中心，北京 100041
    2 东南大学网络空间安全学院，江苏 南京 211189
  • 修回日期:2018-11-28 出版日期:2018-12-01 发布日期:2018-12-30
  • 作者简介:张明远（1982-），男，内蒙古人，硕士，国家无线电监测中心检测中心工程师，主要研究方向为新型无线电检测技术。|祁欣妤（1995-），女，江苏南京人，东南大学硕士生，主要研究方向为通信网络安全。|宋宇波（1977-），男，江苏无锡人，博士，东南大学副教授，主要研究方向为通信网络安全及协议安全性分析。|顾荣荣（1990-），女，江苏盐城人，东南大学硕士生，主要研究方向为智能移动终端。|胡爱群（1952-），男，江苏南通人，博士，东南大学教授、博士生导师，主要研究方向为通信网络安全。|朱珍超（1982-），男，安徽霍邱人，博士，东南大学讲师，主要研究方向为密码学与网络安全。
  • 基金资助:
    国家自然科学基金资助项目(61601113);中央高校基本科研业务费专项基金资助项目(2242017K40013)

Analysis of communication data of mobile terminal based on protocol reversal

Mingyuan ZHANG1,Xinyu QI2(),Yubo SONG2,Rongrong GU2,Aiqun HU2,Zhenchao ZHU2   

  1. 1 The State Radio Monitoring Center Testing Center,Beijing 100041,China
    2 School of Cyber Science and Engineering South East University,Nanjing 211189,China
  • Revised:2018-11-28 Online:2018-12-01 Published:2018-12-30
  • Supported by:
    The National Natural Science Foundation of China(61601113);The Fundamental Research Funds for the Central Universities of China(2242017K40013)

在线阅读

20

pdf下载

1205

摘要：

针对移动终端通信协议及通信数据的解析，其难点在于大部分移动终端应用程序并无相关公开的技术文档，难以获知其采取的通信协议类型。指令执行序列分析技术通过分析程序执行的指令序列逆向推断出消息格式和状态机。但有时序列信息采集不全，导致状态机推断不完备，从而无法获取全部协议信息。针对上述问题，提出了一个新型的基于状态机对比推断分析的移动终端通信协议解析方案，可用于取证场景提高数据取证的准确性和完备性。该方案首先利用PIN动态二进制插桩，识别污点源并跟踪污点轨迹分析出协议消息格式；然后根据格式信息对提取的协议消息进行聚类分析推断出原始状态机；最后利用最长公共子序列（LCS,longest common subsequence）算法与已知的协议状态机进行对比，相似度最高者即为推断出的通信协议类型。在Android平台上基于两类应用程序设计实验对该方案进行测试和评估，实验结果表明可准确提取应用程序的通信内容，实用价值强。

关键词: 移动终端, 数据取证, 动态污点分析, 协议逆向分析, 相似性对比

Abstract:

The most problem in analysis of communication protocols and communication data for mobile terminals is that many mobile applications do not have the relevant public technical documents,and it is difficult to know the type of communication protocol it adopts.The instruction execution sequence analysis technique takes the instruction sequence executed by the program as a research object,and inversely infers the message format and the state machine to obtain the communication protocol.However,due to the incomplete collection of sequence information,the state machine infers that the inference is incomplete and cannot be effective.A novel protocol reverse scheme based on state machine comparison is proposed,which can be used for the forensics of mobile terminal communication data.The scheme first uses PIN for dynamical identification of the taint,and track it and analyzes the trajectory to obtain the message format.Secondly,the message clustering is performed on the basis of the message format to infer the protocol state machine.Finally,the LCS algorithm is used to compare the state machines to get a complete protocol state machine.This article tests and evaluates the scheme based on two types of application design experiments on the Android platform.The experimental results show that the results are both complete and real-time,and have practical value.

Key words: mobile terminal, data forensics, dynamic stain analysis, protocol reverse analysis, similarity comparison

中图分类号: 

No Suggested Reading articles found!