基于神經(jīng)網(wǎng)絡(luò)和返回導(dǎo)向編程的程序行為隱藏方法.pdf

1、程序是用計(jì)算機(jī)程序設(shè)計(jì)語言編寫的用于實(shí)現(xiàn)某種操作的指令集合，程序?yàn)榱藢?duì)抗逆向分析或者是代碼竊取，通常會(huì)采取一些自我保護(hù)技術(shù)，程序行為或者代碼隱藏技術(shù)屬于其中的一種。程序通過將自身的一些特定行為進(jìn)行隱藏，增加攻擊者對(duì)二進(jìn)制程序進(jìn)行逆向工程的難度，同時(shí)使攻擊者無法分析程序的行為和結(jié)構(gòu)。惡意代碼通常會(huì)采取很多自我保護(hù)措施躲避殺毒軟件的檢測(cè)，雖然有很多種程序保護(hù)的方法，但是有的方法設(shè)計(jì)困難、有的方法會(huì)遺留特征、有的方法會(huì)增加程序復(fù)雜度、影響程序

2、性能以及有的方法隱藏強(qiáng)度不夠等。
　　本文提出了一種基于神經(jīng)網(wǎng)絡(luò)和返回導(dǎo)向編程（ Return-Oriented Programming，ROP）的程序行為隱藏方法，該方法利用神經(jīng)網(wǎng)絡(luò)的函數(shù)模擬功能，將程序中的關(guān)鍵條件分支和觸發(fā)ROP代碼的條件分支用神經(jīng)網(wǎng)絡(luò)函數(shù)替換，由于神經(jīng)網(wǎng)絡(luò)的黑盒性和不可解釋性，想要提取神經(jīng)網(wǎng)絡(luò)的復(fù)雜規(guī)則是不可能的；然后將程序中需要隱藏的特定行為的代碼用ROP技術(shù)中短指令工具（Gadgets）替換，不同于其他

3、隱藏技術(shù)，這里是完全的隱藏，程序中存儲(chǔ)的是這些Gadgets的地址（Payload）。本文通過將這些Payload動(dòng)態(tài)的寫入到神經(jīng)網(wǎng)絡(luò)的存儲(chǔ)空間中，更加有效地對(duì)抗了特征匹配分析方法，比其它ROP技術(shù)有更好的隱蔽性。同時(shí)本文利用神經(jīng)網(wǎng)絡(luò)函數(shù)對(duì)ROP技術(shù)中的Payload進(jìn)行自校驗(yàn)，有效地抵抗了針對(duì)ROP技術(shù)的重寫或替換系統(tǒng)函數(shù)庫(kù)的攻擊，增強(qiáng)了本方法的強(qiáng)健性。
　　為了有效地體現(xiàn)本文所提方法對(duì)程序行為的隱藏效果和性能，本文分別對(duì)各種惡