一种基于风险代码抽取的控制流保护方法

1

作者 李勇钢 钟叶青 +2 位作者 郑伊健 林果园 鲍宇 《计算机学报》 EI CAS CSCD 北大核心 2024年第6期1372-1392,共21页

代码复用攻击是控制流安全面临的主要威胁之一.虽然地址分布随机化能够缓解该攻击,但它们很容易被代码探测技术绕过.相比之下,控制流完整性方法具有更好的保护效果.但是,现有的方法要么依赖于源码分析,要么采用无差别跟踪的方式追踪所... 代码复用攻击是控制流安全面临的主要威胁之一.虽然地址分布随机化能够缓解该攻击,但它们很容易被代码探测技术绕过.相比之下,控制流完整性方法具有更好的保护效果.但是,现有的方法要么依赖于源码分析,要么采用无差别跟踪的方式追踪所有的控制流转移.前者无法摆脱对源码的依赖性,后者则会引入巨大的运行时开销.针对上述问题,本文提出一种新的控制流保护方法MCE(Micro Code Extraction).MCE的保护目标是源码不可用的闭源对象.与现有的方法相比,MCE并不会盲目地追踪所有的控制流转移活动.它实时地检测代码探测活动,并仅将被探测的代码作为保护目标.之后,MCE抽取具有潜在风险的代码片段,以进一步缩小目标对象的大小.最后,所有跳转到风险代码中的控制流都会被追踪和检测,以保护它的合法性.实验和分析表明,MCE对代码探测和代码复用攻击具有良好的保护效果,并在一般场景下仅对CPU引入2%的开销. 展开更多

关键词 代码探测 代码复用攻击 控制流劫持 代码抽取 内存访问控制

在线阅读 下载PDF 职称材料

面向二进制代码的细粒度软件多样化方法

2

作者 何本伟 郭云飞 +1 位作者 梁浩 王庆丰 《计算机工程》 CSCD 北大核心 2024年第1期138-144,共7页

现有软件多样化方法大多需要源代码,基于编译器生成变体二进制,而对二进制代码直接进行转换时由于缺乏调试信息导致难以正确逆向,且易造成高额的性能开销。为此,提出一种面向二进制代码的细粒度软件多样化方法。通过静态二进制重写技术... 现有软件多样化方法大多需要源代码,基于编译器生成变体二进制,而对二进制代码直接进行转换时由于缺乏调试信息导致难以正确逆向,且易造成高额的性能开销。为此,提出一种面向二进制代码的细粒度软件多样化方法。通过静态二进制重写技术以函数块为单位进行重排序,随机化函数在代码段中的原始位置,同时使程序的内存片段gadgets位置发生改变,使得攻击者对程序的先验知识失效,以防御大规模代码重用攻击。为了进一步提高攻击者破解难度,对基本块内的指令进行依赖性分析,实现基本块内指令随机化,同时使得随机化后基本块的原始语义不变。性能测试结果表明,函数重排序对gadgets存活率的影响大于基本块内指令重排序,两者同时使用时程序的gadgets平均存活率为5.71%;模糊哈希算法Tlsh比较结果显示,该方法能够有效躲避同源性检测;使用工具Bindiff进行测试的结果表明,多样化后基本块内指令重排序的异构度大于函数重排序,且在基准测试集SPEC CPU2006上函数重排序和指令重排序同时使用时平均运行开销仅为3.1%,具有良好的实用性。 展开更多

关键词 软件多样化 代码重用攻击 二进制重写 代码随机化 数据依赖性

在线阅读 下载PDF 职称材料

代码复用攻防技术演化综述

3

作者 詹静 陈鹏 +2 位作者 张茜 李永震 赵勇 《北京工业大学学报》 CAS CSCD 北大核心 2024年第5期632-650,共19页

当前代码复用攻击研究多从一种或多种代码复用攻击或防御技术角度进行现状和趋势分析,对影响攻防的关键特征及技术覆盖不全面,对攻防技术对抗演化发展规律分析较少。为解决上述问题,从经典代码复用攻击——返回导向编程(return-oriented... 当前代码复用攻击研究多从一种或多种代码复用攻击或防御技术角度进行现状和趋势分析,对影响攻防的关键特征及技术覆盖不全面,对攻防技术对抗演化发展规律分析较少。为解决上述问题,从经典代码复用攻击——返回导向编程(return-oriented programming,ROP)攻击的生命周期入手,归纳影响此类攻击成功与否的关键特征,基于时间线和这些特征,综合衡量安全和性能因素,给出了代码复用攻防技术的发展规律。 展开更多

关键词 程序安全 代码复用攻击 攻防技术演化 指令结构特征 地址随机化 运行代码特征

在线阅读 下载PDF 职称材料

基于运行特征监控的代码复用攻击防御 被引量：4

4

作者 张贵民 李清宝 +1 位作者 张平 程三军 《软件学报》 EI CSCD 北大核心 2019年第11期3518-3534,共17页

针对代码复用的攻击与防御已成为网络安全领域研究的热点,但当前的防御方法普遍存在防御类型单一、易被绕过等问题.为此,提出一种基于运行特征监控的代码复用攻击防御方法RCMon.该方法在分析代码复用攻击实现原理的基础上定义了描述程... 针对代码复用的攻击与防御已成为网络安全领域研究的热点,但当前的防御方法普遍存在防御类型单一、易被绕过等问题.为此,提出一种基于运行特征监控的代码复用攻击防御方法RCMon.该方法在分析代码复用攻击实现原理的基础上定义了描述程序正常运行过程的运行特征模型RCMod,并提出了验证程序当前运行状态是否满足RCMod约束规则的安全验证自动机模型.实现中,通过直接向目标程序中植入监控代码,使程序运行到监控节点时自动陷入,并由Hypervisor实现运行特征库的构建和安全验证.实验结果表明,RCMon能够有效地防御已知的绝大部分代码复用攻击,平均性能开销约为22%. 展开更多

关键词 代码复用攻击 运行特征 系统调用 插桩

在线阅读 下载PDF 职称材料

面向Linux的内核级代码复用攻击检测技术 被引量：8

5

作者 陈志锋 李清宝 +1 位作者 张平 王烨 《软件学报》 EI CSCD 北大核心 2017年第7期1732-1745,共14页

近年来,代码复用攻击与防御成为安全领域研究的热点.内核级代码复用攻击使用内核自身代码绕过传统的防御机制.现有的代码复用攻击检测与防御方法多面向应用层代码复用攻击,忽略了内核级代码复用攻击.为有效检测内核级代码复用攻击,提出... 近年来,代码复用攻击与防御成为安全领域研究的热点.内核级代码复用攻击使用内核自身代码绕过传统的防御机制.现有的代码复用攻击检测与防御方法多面向应用层代码复用攻击,忽略了内核级代码复用攻击.为有效检测内核级代码复用攻击,提出了一种基于细粒度控制流完整性(CFI)的检测方法.首先根据代码复用攻击原理和正常程序控制流构建CFI约束规则,然后提出了基于状态机和CFI约束规则的检测模型.在此基础上,基于编译器,辅助实现CFI标签指令插桩,并在Hypervisor中实现CFI约束规则验证,提高了检测方法的安全性.实验结果表明,该方法能够有效检测内核级代码复用攻击,并且性能开销不超过60%. 展开更多

关键词 代码复用攻击 内核 控制流完整性 插桩 约束规则

在线阅读 下载PDF 职称材料

运行时代码随机化防御代码复用攻击 被引量：6

6

作者 张贵民 李清宝 +1 位作者 曾光裕 赵宇韬 《软件学报》 EI CSCD 北大核心 2019年第9期2772-2790,共19页

代码复用攻击日趋复杂,传统的代码随机化方法已无法提供足够的防护.为此,提出一种基于运行时代码随机化的代码复用攻击防御方法 LCR.该方法在目标程序正常运行时,实时监控攻击者企图获取或利用 gadgets 的行为,当发现监控的行为发生时,... 代码复用攻击日趋复杂,传统的代码随机化方法已无法提供足够的防护.为此,提出一种基于运行时代码随机化的代码复用攻击防御方法 LCR.该方法在目标程序正常运行时,实时监控攻击者企图获取或利用 gadgets 的行为,当发现监控的行为发生时,立即触发对代码进行函数块级的随机化变换,使攻击者最终获取或利用的 gadgets信息失效,从而阻止代码复用攻击的实现.设计实现了 LCR原型系统,并对提出的方法进行了测试.结果表明: LCR能够有效防御基于直接或间接内存泄漏等实现的代码复用攻击,且在 SPEC CPU2006 上的平均开销低于 5%. 展开更多

关键词 代码随机化 代码复用攻击 内存泄漏

在线阅读 下载PDF 职称材料

基于代码防泄漏的代码复用攻击防御技术 被引量：5

7

作者 王烨 李清宝 +1 位作者 曾光裕 陈志锋 《计算机研究与发展》 EI CSCD 北大核心 2016年第10期2277-2287,共11页

随着地址空间布局随机化被广泛部署于操作系统上,传统的代码复用攻击受到了较好的抑制.但新型的代码复用攻击能通过信息泄露分析程序的内存布局而绕过地址空间布局随机化(address space layout randomization,ASLR),对程序安全造成了严... 随着地址空间布局随机化被广泛部署于操作系统上,传统的代码复用攻击受到了较好的抑制.但新型的代码复用攻击能通过信息泄露分析程序的内存布局而绕过地址空间布局随机化(address space layout randomization,ASLR),对程序安全造成了严重威胁.通过分析传统代码复用攻击和新型代码复用攻击的攻击本质,提出一种基于代码防泄漏的代码复用攻击防御方法 VXnR,并在Bitvisor虚拟化平台上实现了VXnR,该方法通过将目标进程的代码页设置可执行不可读(Execute-no-Read,XnR),使代码可以被处理器正常执行,但在读操作时根据被读物理页面的存储内容对读操作进行访问控制,从而阻止攻击者利用信息泄露漏洞恶意读进程代码页的方法搜索gadgets,实验结果表明:该方法既能防御传统的代码复用攻击,还能够防御新型的代码复用攻击,且性能开销在52.1%以内. 展开更多

关键词 地址空间布局随机化 代码复用攻击 程序安全 信息泄露 虚拟化

在线阅读 下载PDF 职称材料

利用返回地址保护机制防御代码复用类攻击 被引量：2

8

作者 陈林博 江建慧 张丹青 《计算机科学》 CSCD 北大核心 2013年第9期93-98,102,共7页

尽管现有多种防御方法和技术,但是针对软件系统和网络的攻击仍然是难以防范的威胁。在引入只读/写和地址空间随机化排列方法后,现代操作系统能有效地应对恶意代码注入类型的攻击。但是攻击者可以利用程序中已经存在的代码,将其组装成具... 尽管现有多种防御方法和技术,但是针对软件系统和网络的攻击仍然是难以防范的威胁。在引入只读/写和地址空间随机化排列方法后,现代操作系统能有效地应对恶意代码注入类型的攻击。但是攻击者可以利用程序中已经存在的代码,将其组装成具有图灵完全计算功能的连续的代码块,用以绕过已有的防御机制。针对代码复用类攻击防御方法的局限性,提出了一种利用返回地址实时保护机制的防御方法,以有效防御代码复用类攻击,特别是ROP攻击。在程序运行时,通过对其栈中返回地址值的加密保护和实时检测,防止所有的以0xC3字符(即ret指令)结尾的短序列代码段的连续执行。该方法不需要源代码和调试信息,能完全防御ROP攻击,并且其性能开销也具有明显的优势。 展开更多

关键词 代码复用类攻击 ROP攻击 返回地址保护 二进制代码动态翻译

在线阅读 下载PDF 职称材料

用多密钥加密方法防御面向返回编程的攻击 被引量：1

9

作者 陈林博 江建慧 张丹青 《高技术通讯》 CAS CSCD 北大核心 2014年第4期355-364,共10页

针对面向返回编程(ROP)攻击的特性,提出了一种利用多密钥加密函数返回地址值防ROP攻击的方法。这种方法通过密钥指定位以及密钥迷惑位的巧妙设置,防止密钥在泄露情况下攻击者实施有效攻击的可能。利用二进制代码动态翻译工具PIN开发了... 针对面向返回编程(ROP)攻击的特性,提出了一种利用多密钥加密函数返回地址值防ROP攻击的方法。这种方法通过密钥指定位以及密钥迷惑位的巧妙设置,防止密钥在泄露情况下攻击者实施有效攻击的可能。利用二进制代码动态翻译工具PIN开发了原型系统,在实现时,为了避免攻击者攻击原型系统而直接访问密钥,引入了诱饵密钥,在增加攻击难度的同时降低了可信计算基。其有效性分析和实验结果表明,在不需要其他信息(如源码、调试信息等)条件下,多密钥加密防御方法能在适当的性能开销下,有效防御ROP攻击,并且其误报率极低。 展开更多

关键词 代码复用类攻击 返回编程(ROP)攻击 多密钥加密保护 密钥迷惑位 诱饵密钥

在线阅读 下载PDF 职称材料

基于指令校验的软硬件协同代码重用攻击防护方法 被引量：1

10

作者 吕雅帅 《电子学报》 EI CAS CSCD 北大核心 2016年第10期2403-2409,共7页

面向x86处理器的代码重用攻击难于防护的一个重要原因是,在x86程序代码中存在大量合法但非编程者预期要执行的指令.这些在代码中大量存在的非预期指令可被用于构造实现CRA的组件.先前研究均采用软件方法解决非预期指令问题,运行开销大... 面向x86处理器的代码重用攻击难于防护的一个重要原因是,在x86程序代码中存在大量合法但非编程者预期要执行的指令.这些在代码中大量存在的非预期指令可被用于构造实现CRA的组件.先前研究均采用软件方法解决非预期指令问题,运行开销大且应用受限.本文的主要贡献之一是提出了一种低开销的软硬件协同方法来解决x86的非预期指令问题.实验表明,本文的实现方法仅给应用程序带来了-0.093%～2.993%的额外运行开销.此外,本文还提出采用硬件实现的控制流锁定作为一项补充技术.通过同时采用两个技术,可以极大降低x86平台遭受代码重用攻击的风险. 展开更多

关键词 代码重用攻击 非预期指令 指令校验

在线阅读 下载PDF 职称材料

一种基于实时代码装卸载的代码重用攻击防御方法 被引量：2

11

作者 侯尚文 黄建军 +2 位作者 梁彬 游伟 石文昌 《计算机科学》 CSCD 北大核心 2022年第10期279-284,共6页

近年来,代码重用攻击(Code Reuse Attack)已经成为针对二进制程序的一种主流攻击方式。以ROP为代表的代码重用攻击,利用内存空间中存在的指令片段,构建出能实现特定功能的指令序列,达成了恶意目标。文中根据代码重用攻击的基本原理,提... 近年来,代码重用攻击(Code Reuse Attack)已经成为针对二进制程序的一种主流攻击方式。以ROP为代表的代码重用攻击,利用内存空间中存在的指令片段,构建出能实现特定功能的指令序列,达成了恶意目标。文中根据代码重用攻击的基本原理,提出了基于实时装卸载函数代码的防御方法,通过动态装卸载的方式裁剪代码空间,从而达到缩小攻击面以防御代码重用的目的。首先,以静态分析的方式获取受保护程序依赖库的函数信息;以替换库的形式使用这些信息;其次,在Linux动态装载器中引入实时装载函数的操作及自动触发和还原的装卸载流程,为了减小频繁卸载导致的高额开销,设计了随机化批量卸载机制;最后,在真实环境中开展实验,验证了该方案防御代码重用攻击的有效性,展示了随机卸载策略的意义。 展开更多

关键词 代码重用攻击 实时代码装卸载 面向返回编程 动态链接库 随机卸载

在线阅读 下载PDF 职称材料

基于硬件的代码复用攻击防御机制综述 被引量：1

12

作者 张军 侯锐 +3 位作者 詹志远 张立新 陈明宇 孟丹 《高技术通讯》 EI CAS 北大核心 2018年第4期299-312,共14页

给出了代码复用攻击挟持控制流的过程,介绍了代码复用攻击防御机制研究现状。重点论述了基于硬件的防御机制,包括基于硬件的存储安全、代码指针完整性、攻击特征检查、控制流完整性、数据执行保护与隔离技术。讨论了基于硬件的防御机制... 给出了代码复用攻击挟持控制流的过程,介绍了代码复用攻击防御机制研究现状。重点论述了基于硬件的防御机制,包括基于硬件的存储安全、代码指针完整性、攻击特征检查、控制流完整性、数据执行保护与隔离技术。讨论了基于硬件的防御机制存在的问题、优势及硬件与软件的关系。展望了基于硬件的代码复用攻击防御机制的发展方向:基于硬件的代码指针完整性有望成为防止控制流挟持攻击的有效手段,针对非控制数据的攻击与防御有可能成为新的研究热点,支持可配置的硬件防御架构是硬件防御的重要趋势之一。 展开更多

关键词 控制流挟持 存储错误 代码复用攻击 存储安全 代码指针完整性 控制流完整性(CFI) 数据执行保护(DEP) 隔离技术

在线阅读 下载PDF 职称材料

一种基于表达式树的gadget语义分析技术 被引量：4

13

作者 蒋楚 王永杰 《计算机工程》 CAS CSCD 北大核心 2021年第1期109-116,共8页

代码重用攻击的实施过程较为繁杂,通常需要一些工具辅助人工来完成gadget序列的构建,但现有的自动化构建工具效率较低。在分析Ropper、angrop和BOPC等典型开源gadget工具语义分析内容的基础上,总结gadget语义分析应包含的要素,提出一种... 代码重用攻击的实施过程较为繁杂,通常需要一些工具辅助人工来完成gadget序列的构建,但现有的自动化构建工具效率较低。在分析Ropper、angrop和BOPC等典型开源gadget工具语义分析内容的基础上,总结gadget语义分析应包含的要素,提出一种基于表达式树的gadget语义分析方法。通过表达式树变体描述寄存器和内存读写的表达式信息,提高gadget语义分析的效率。实现一个gadget搜索与语义分析工具SemExpr,针对现有gadget工具难以进行对比分析的问题,设计能对多种gadget工具进行效率和效能分析的实验系统gadgetAnalysis。基于该系统进行实验,结果表明,SemExpr工具能够权衡效率和效能,取得较好的语义分析效果。 展开更多

关键词 代码重用攻击 gadget序列自动化构建 语义分析 语义摘要 gadget工具

在线阅读 下载PDF 职称材料

面向RISC处理器的控制流认证方案

14

作者 李扬 戴紫彬 李军伟 《计算机工程》 CAS CSCD 北大核心 2019年第12期134-140,146,共8页

为使RISC处理器平台具备检测代码重用攻击的能力,将控制流完整性机制与可信计算中的动态远程证明协议相结合,提出面向RISC处理器的硬件辅助控制流认证方案。以开源RISC处理器为基础,扩展与处理器紧耦合的硬件监控单元,同时给出控制流认... 为使RISC处理器平台具备检测代码重用攻击的能力,将控制流完整性机制与可信计算中的动态远程证明协议相结合,提出面向RISC处理器的硬件辅助控制流认证方案。以开源RISC处理器为基础,扩展与处理器紧耦合的硬件监控单元,同时给出控制流认证方案的证明协议,设计用于跟踪执行路径的硬件编码方法以实现信息压缩。实验结果表明,与C-FLAT方案相比,该方案传输延时小且资源消耗少,能够保证RISC处理器控制流的可信安全。 展开更多

关键词 代码重用攻击 控制流完整性机制 远程证明 硬件 安全处理器

在线阅读 下载PDF 职称材料

面向代码重用攻击检测的安全调试架构研究与设计

15

作者 李扬 戴紫彬 李军伟 《计算机应用与软件》 北大核心 2019年第5期327-333,共7页

为了在不修改处理器结构的基础上检测代码重用攻击,提出面向代码重用攻击检测的安全调试架构。针对通用基础调试结构可利用的调试信号,设计总线跟踪模块,为执行内存访问控制提供接口。研究基于性能计数器的函数级代码重用攻击检测方法,... 为了在不修改处理器结构的基础上检测代码重用攻击,提出面向代码重用攻击检测的安全调试架构。针对通用基础调试结构可利用的调试信号,设计总线跟踪模块,为执行内存访问控制提供接口。研究基于性能计数器的函数级代码重用攻击检测方法,增加跟踪检测微控制单元,使安全调试架构与性能计数器配合工作,在不插桩的前提下完成检测。实验结果表明,安全调试架构传输延时小,资源消耗少,能够有效检测代码重用攻击。 展开更多

关键词 代码重用攻击 嵌入式设备安全 调试架构 性能计数器

在线阅读 下载PDF 职称材料

GDL:一种通用型代码重用攻击gadget描述语言

16

作者 蒋楚 王永杰 《计算机科学》 CSCD 北大核心 2020年第6期284-293,共10页

由于代码重用攻击的方式方法多样,相应的gadget在结构上也不尽相同,目前尚没有一种通用的方法能够用来描述多种代码重用攻击下的gadget。结合几种常见代码重用攻击的攻击模型和图灵机模型,文中提出了一种代码重用攻击的通用模型,为了能... 由于代码重用攻击的方式方法多样,相应的gadget在结构上也不尽相同,目前尚没有一种通用的方法能够用来描述多种代码重用攻击下的gadget。结合几种常见代码重用攻击的攻击模型和图灵机模型,文中提出了一种代码重用攻击的通用模型,为了能够对代码重用攻击中的gadget进行结构化的描述,设计了一种用于代码重用攻击的gadget描述语言(Gadget Description Language,GDL)。首先,介绍了代码重用攻击的发展历程,总结了代码重用攻击的攻击模型和gadget特征;然后,以此为基础设计了GDL,给出了GDL中的关键字和各种约束类型的语法规范;最后,在ply和BARF等开源项目的基础上,实现了基于GDL的gadget搜索原型系统GDLgadget,并描述了GDLgadget的执行流程,通过实验验证了GDLgadget的可用性。 展开更多

关键词 代码重用攻击 攻击模型 图灵机模型 gadget描述 gadget搜索

在线阅读 下载PDF 职称材料