路由器作为互联网基础设施,主要提供数据转发,网络寻址等重要任务,其安全状况对所在网络具有举足轻重的影响。Cisco作为全球最大的互联网设备厂商为全球骨干网络提供着最广泛的服务。虽然Cisco公司一直致力于提高其路由器的安防水平,但由于Cisco路由器型号和IOS版本众多,给安全研究带来困难。一些IOS漏洞和针对性攻击方式只有在安全事件爆发时才会被发现,造成大量经济损失。本文希望借鉴蜜罐思想主动发现针对Cisco路由器的攻击行为,并提前感知未知威胁。当前蜜罐研究多针对于PC端服务,路由器作为蜜罐场景构建的一部分,通常不被重视。有的蜜罐系统仅仅虚拟了路由功能而并没有采用高交互路由器,起不到对路由器安全研究的效果。本文设计了基于硬件仿真的高交互虚拟蜜罐,同时为了弥补虚拟化能力的不足,采用实体路由器作为补充蜜罐。提出了一种基于虚实结合的Cisco路由器蜜罐构建方法,并给出Cisco路由器蜜罐信息捕获和攻击判定条件。本文的主要工作包括:1.构建了Cisco IOS攻击链模型,对照攻击模型分析了路由器攻击的各个阶段特点。能够直观的反映出不同阶段的攻击目标、所使用的技术方法以及取得的效果和影响。攻击模型对路由器安全防护及蜜罐的配置策略有指导作用。2.提出了虚实结合的Cisco路由器蜜罐构建和部署方法。当前路由器平台蜜罐研究资料较少,在高交互蜜罐领域并没有形成一款专门针对路由器的蜜罐。通过对固件模拟执行的方式生成虚拟路由器,同时搭配实体路由器组成了高交互路由器蜜罐的硬件基础。针对虚实两种路由器的特点分别设计了相应的蜜罐路由器生成和控制技术,能够获取攻击行为的原始数据。3.提出了Cisco路由器蜜罐攻击行为判定方法。明确了路由器蜜罐的信息采集的内容并给出了相关信息的收集的方法手段。分别针对不同来源的信息给出了攻击判定方法,提出了基于告警信息的攻击行为分析流程。4.提出了基于返回地址内存哈希的ROP攻击定位分析方法。在Cisco路由器虚拟蜜罐指令监控的基础上,针对传统的ROP防护技术在解决Cisco IOS防护上存在的缺陷,提出了一种基于返回地址内存哈希验证的方法,能够在路由器遭受ROP攻击时有效定位出攻击发生位置,并截获关键shellcode代码。