公开(公告)号：CN115529167A

公开(公告)日：2022-12-27

申请号：CN202211117925.5

申请日：2022-09-14

Applicant: 清华大学

Inventor： 沈凯文 ,  杨雅儒 ,  张甲 ,  段海新

IPC: H04L9/40 ,  H04L67/02 ,  G06F40/30 ,  G06F40/253 ,  G06F40/211

Abstract: 本发明提供一种基于人机协同的协议不一致漏洞挖掘方法和装置，通过获取待处理的多个目标中间件；利用预先生成的测试样例对各目标中间件进行测试，以分别得到测试结果；其中，测试样例是基于预存的文档分析器提取和生成的；基于预存的差异分析算法对各测试结果进行分析，以得到分析结果；在所述分析结果包括预设差异的情况下，则确定各目标中间件之间存在协议不一致漏洞。本发明从全新的人机协同的漏洞挖掘角度出发，以HTTP中间件为目标，利用文档分析器提取和生成测试样例以及差分测试的方法，来半自动化挖掘各种HTTP中间件由于语义差异导致的协议不一致性漏洞，从而实现系统的、可扩展的、效率更高、准确率更高的挖掘协议不一致漏洞。