基于数值特征向量的跨平台物联网设备固件漏洞分析方法研究

With the rapid development of the Internet of Things (IoT), its security is facing severe challenges. Firmware, as an integral part of IoT devices is often analyzed, invaded and tampered with by attackers. However, it is difficult to obtain the internal binary code of the firmware. Also, it is difficult to extract the features of the disassembled code. Moreover, because dynamic debugging of the firmware involves many underlying hardware, it is difficult to simulate the real execution environment. Thus, most of the existing firmware vulnerability detection methods cannot effectively meet the actual application requirements. We have established a static analysis framework based on software vulnerability analysis method, and also realized a dynamic detection framework based on fuzzy test method integrated with accurately simulated environment. Based on the previous research results, this project de-noises the firmware code function through the vulnerability patch, and uses the neuron model for static analysis of the web module vulnerabilities of IoT devices. Moreover, the hardware simulation framework for dynamic detection is implemented. Support vector machine-based modeling and detection is deployed for internal hardware performance counters when the firmware is dynamically running. Finally, an innovative dynamic and static detection method based on stain tracking is proposed, and the symbol execution framework is used to verify the firmware execution flow. This will help to significantly improve the accuracy of cross-platform IoT device firmware vulnerability detection and fully detect unknown vulnerabilities.

在物联网飞速发展的同时，其安全面临着严峻的挑战。固件作为物联网必不可少的组成部分，往往受到攻击者的分析、入侵和篡改。然而，由于固件内部二进制代码难以获得，反汇编代码特征难以提取，对固件的动态调试涉及诸多底层硬件导致难以模拟真正的执行环境等原因，现有的大多数固件漏洞检测手段无法有效地满足实际应用需求。我们已建立基于软件漏洞分析方法的静态分析框架，实现了集成了高度仿真环境的基于模糊测试方法的动态检测框架。结合前期基础，本课题通过漏洞补丁对固件代码函数进行去噪处理，并针对物联网设备配套的web模块的漏洞采用神经元模型进行静态分析，另一方面实现动态检测的硬件仿真框架，在固件动态运行时针对内部的硬件性能计数器进行基于支持向量机的建模检测。最后创新性地提出基于污点跟踪的动静态结合检测方法，结合符号执行框架来验证固件执行流程。这将有助于显著提高跨平台物联网设备固件漏洞检测精度，并能够充分检测未知的漏洞。

随着物联网技术的飞速发展，其应用领域也在不断拓展。公共视频监控、车联网、工业互联网、智慧电力、智慧交通、智慧家庭等领域处处都有物联网的身影。然而，物联网设备在给社会提供便利性、易用性的同时，各种安全事故随之而来。为保障物联设备的安全运行，迫切需要对物联网固件进行全面的安全分析，开展跨平台的固件漏洞分析。这将有助于明确存在潜在威胁的设备，第一时间做出安全防护措施，保障系统安全，降低财产损失，具有重要的研究和应用价值。本课题从特征向量与动静态分析方法结合的角度出发，解决固件漏洞检测的关键问题，主攻固件漏洞静态检测、固件漏洞动态检测和固件漏洞动静态结合检测的关键理论和技术。课题组在已建立基于软件漏洞分析方法的静态分析框架，并且实现了集成了高度仿真环境的基于模糊测试方法的动态检测框架的基础上，结合前期研究，通过漏洞补丁对固件代码函数进行去噪处理，并针对物联网设备固件漏洞进行针对性分析。另一方面课题组针对固件代码复用、升级等情况提出了针对固件二进制文件同源性分析的方法。最后创新性地提出基于克隆选择算法的固件二进制文件同源性分析框架，结合退火算法分析固件同源性。这将有助于显著提高跨平台物联网设备固件漏洞检测精度，并能够充分检测固件文件的漏洞。在实验中，对4279个固件进行大规模漏洞分析。在固件安全面分析中，我们发现有4127个，即超过90%的固件均存在安全问题，其中弱口令、硬编码等问题占90%。在补丁分析中，在成功地为4279个固件中1014个自动搜索到了87090个补丁后，利用美国国家安全漏洞库数据库中漏洞信息的修改记录提取出补丁的出现时间。同时，实验结果显示，补丁修改的实体以函数为主，在全部的55986个补丁中有53689个补丁对函数接进行了修改。在固件同源性分析中，我们将4279个固件文件分成647组，其中623组成功完成了同源性比对，我们的固件二进制文件同源性检测方法相较于目前流行的各种工具在召回率以及准确率均提升了百分之十以上，达到了93%。