基于動(dòng)態(tài)分析的漏洞自動(dòng)化驗(yàn)證技術(shù)研究.pdf

1、近年來(lái)互聯(lián)網(wǎng)惡意攻擊事件頻發(fā),各大安全平臺(tái)捕獲的攻擊樣本數(shù)量不斷增多，樣本分析成為了互聯(lián)網(wǎng)安全研究領(lǐng)域的重點(diǎn)。樣本分析中的一個(gè)核心環(huán)節(jié)就是漏洞驗(yàn)證。漏洞驗(yàn)證即驗(yàn)證樣本是否利用了軟件漏洞進(jìn)行攻擊，具體的驗(yàn)證內(nèi)容包括漏洞類(lèi)型和攻擊手段。傳統(tǒng)的漏洞驗(yàn)證通常采用人工分析的方式，然而人工分析存在效率低下和成本較高的問(wèn)題，因此研究一種漏洞自動(dòng)化驗(yàn)證的新方法來(lái)緩解這些問(wèn)題就顯得很有意義。針對(duì)此需求，本文從動(dòng)態(tài)分析技術(shù)出發(fā)，提出了對(duì)大量樣本進(jìn)行漏洞自動(dòng)

2、化驗(yàn)證的新方法，并設(shè)計(jì)和實(shí)現(xiàn)了驗(yàn)證系統(tǒng)原型。漏洞自動(dòng)化驗(yàn)證方法分為環(huán)境搭建和驗(yàn)證規(guī)則設(shè)計(jì)兩個(gè)方面，對(duì)此，本文進(jìn)行了如下研究：
　　1.本文研究了環(huán)境搭建所面臨兩個(gè)主要問(wèn)題。一是單一樣本進(jìn)行漏洞驗(yàn)證，所需的環(huán)境有什么特征；二是在樣本類(lèi)型復(fù)雜的情況下，如何構(gòu)建方案來(lái)滿(mǎn)足所需環(huán)境復(fù)雜的需求。本文歸納出單一樣本所需環(huán)境的特征，并對(duì)其做出形式化描述。在此基礎(chǔ)上，提出了漏洞自動(dòng)化驗(yàn)證的環(huán)境搭建方案。該方案采取將樣本分發(fā)至環(huán)境集群的方法，提高環(huán)

3、境匹配的成功率。進(jìn)一步，針對(duì)環(huán)境集群搭建成本高的問(wèn)題，本文提出了軟件環(huán)境集合劃分算法，在不降低漏洞驗(yàn)證的準(zhǔn)確率前提下，減少了環(huán)境搭建的成本。
　　2.本文研究了緩沖區(qū)溢出漏洞和ROP攻擊的自動(dòng)化驗(yàn)證規(guī)則。通過(guò)分析緩沖區(qū)溢出漏洞觸發(fā)時(shí)函數(shù)返回地址特征，提出了基于函數(shù)返回地址匹配的規(guī)則來(lái)驗(yàn)證樣本是否觸發(fā)了緩沖區(qū)溢出漏洞。通過(guò)構(gòu)造大量的ROP攻擊鏈，分析鏈中Gad-get的長(zhǎng)度特征，以及Gadget中Ret指令之前兩條指令的行為特征，構(gòu)