常见的攻击模式枚举和分类

有几个挑战固有的协议分析根据协议被分析的本质。可能还有其他类型的因素复杂化这个过程如加密或特别困惑的协议。一般有两种网络协议,每一个与自己的挑战和相关分析方法或方法。一些协议是人类可读的,也就是说它们是基于文本的协议。这些类型的协议的例子包括HTTP、SMTP和肥皂。此外,应用程序层协议可以嵌入或封装在可读协议数据包的数据部分。通常情况下,人类可读的协议实现容易自动解码通过适当的工具,如Wireshark /飘渺,嗅探器或分析仪tcpdump或类似协议。

著名的协议规范的存在除了容易识别协议分隔符,如回车或换行字符(CRLF)导致基于文本的协议对直接通过手工流程审查。对协议实现如HTTP协议分析是经常进行识别的实现协议的服务器或客户端。在应用层协议的情况下,嵌入到基于文本的协议,分析技术通常受益于著名的封装协议的性质,可以专注于发现专有协议或API的语义特征,语法和协议以来分隔符的底层协议可以很容易地确定。

当执行协议分析的机器可读的(non-text-based)协议的困难成为协议本身是为了读通过计算过程。这样的协议通常是由完全二进制无明显语法,语法或结构的边界。这些类型的协议IP的例子,UDP和TCP。二进制协议与出版规范可以通过协议分析仪自动解码,但在私有的情况下,closed-specification,二进制协议没有能立即指标包等包语法的边界,分隔符,或结构,或加密或模糊的存在与否。在这些情况下,没有一种技术可以提取或揭示的结构包线,因此有必要使用试验和错误的方法,观察应用程序行为基于系统的突变引入包级别。调试(PDB)或其他工具,如协议数据包注入套件通常使用。在可用的二进制可执行文件的情况下,协议分析与静态和动态分析技术可以增强。