基于虛擬機的關(guān)鍵信息提取與分析.pdf

1、可執(zhí)行二進制代碼的分析是分析程序行為特征的重要手段，是檢測惡意代碼的主要措施。隨著軟件技術(shù)的發(fā)展，加殼、反調(diào)試、代碼混淆等抗分析技術(shù)手段提高了二進制代碼的分析難度。針對這個問題，本文提出了一種基于虛擬機的關(guān)鍵信息提取與分析的方法，其核心思想是，在一個使用仿真技術(shù)的全系統(tǒng)虛擬機上運行操作系統(tǒng)，然后在處于仿真環(huán)境的操作系統(tǒng)中執(zhí)行需要分析的二進制代碼，通過截獲二進制代碼運行時產(chǎn)生的指令流信息，提取相關(guān)數(shù)據(jù)，并借助程序切片技術(shù)分析二進制代碼的行

2、為特征。
　　基于該方法，本文設(shè)計并實現(xiàn)了一個原型系統(tǒng)。該系統(tǒng)通過對bochs虛擬機進行二次開發(fā)，能夠高效地截獲二進制代碼運行時產(chǎn)生的指令流和數(shù)據(jù)流信息，然后使用靜態(tài)特征分析、轉(zhuǎn)移類指令分析、系統(tǒng)調(diào)用分析、內(nèi)存讀寫分析、程序切片分析、密碼算法分析等分析模塊，對截獲下來的信息進行分析，提取其關(guān)鍵的信息，并分析其行為特征。本文在該原型系統(tǒng)上進行了實驗和分析。實驗結(jié)果表明，本文所提出的二進制代碼分析方法,能夠有效地對抗加殼、反調(diào)試、代碼

3、混淆等抗分析技術(shù)手段，實現(xiàn)二進制代碼分析的目的。
　　本文對采用加殼、反調(diào)試、代碼混淆等抗分析技術(shù)手段的二進制代碼的分析方法進行了重點研究。本文的主要貢獻在于：
　?。?）通過對二進制代碼、指令流和數(shù)據(jù)流的特點、抗分析技術(shù)的機理等進行研究，提出了一種基于虛擬機的二進制代碼分析方法。傳統(tǒng)的二進制代碼分析方法更多的是關(guān)注靜態(tài)的二進制代碼或者程序運行時表現(xiàn)的行為，對于采用抗分析技術(shù)手段的二進制代碼，傳統(tǒng)的二進制代碼分析方法能夠獲取

4、的信息比較有限，難以分析二進制代碼的行為特征。本文的新穎性在于，通過截獲、分析二進制代碼運行時的指令流和數(shù)據(jù)流信息來分析二進制代碼。這種方法可以有效規(guī)避加殼、反調(diào)試、代碼混淆等抗分析技術(shù)手段。
　　（2）設(shè)計并實現(xiàn)了一個通用的截獲運行時指令流和數(shù)據(jù)流的虛擬機。通過對開源虛擬機 bochs進行二次開發(fā)，實現(xiàn)了一個能夠截獲運行時指令流和數(shù)據(jù)流信息的虛擬機?；赬86架構(gòu)的Windows、Linux操作系統(tǒng)以及應(yīng)用程序都可以在該虛擬機環(huán)