典型Shellcode 引擎特征检测方法研究.pdfVIP

计算机技术与发展 Vo1 第20 期 ． 20 No．1 201 0 1 ODMPUTER TECHNOLOGY AND DEVELOPMENT Jan． 2010 年 月 典型Shellcode引擎特征检测方法研究 张登银，洪福鑫 (南京邮电大学计算机学院，江苏南京 210003) 摘 要：通用的shelleode引擎大都采用特定运算对shellcode进行编码，使得shellcode具有规避传统的代码特征检测系统的 能力。为了检测具有规避传统检测能力的shellcode，深入分析目前典型shellmde引擎的工作原理，在此基础上研究引擎产 生sheUeode的代码特征和行为特征，进而提出了基于这两类特征的针对性综合检测方法。实验结果表明，这种综合检测 方法可以针对性地、有效地检测并阻止这类sheUcode的执行，同时对其它shellcode也能实现一定程度上的检澳I，而且虚警 和漏警率为0。该检测系统对恶意代码的检测具有一定的应用价值。 关键词：SheUcode引擎；指令；特征检测 中图分类号：1]P393．08 文献标识码：A 文章编号：1673—629X(2010)01—0018—04 Research on Character Detection for Typical Shellcode Engine ZHANG Deng—yin，HONG Fu—xin (College of Computer，Nanjing University of Posts and Telecommunications，Nanjing 210003，China) Al~tract：Shellcode engine usually adopts certain operations which enables shetleode to evade the detection based on data types．In order tO detect these shelleode，in this paper，the principle of typical shellcode engine at present is in—depth analyzed．Then the data types and characters of shdlcode action~Lle researched．Furthermore，the detecting method aimed at these two kinds of shellcode characters is pro· posed．The experiment result shows that this approaches is effective and pointed to detect shellcode and prevent it from being executed， at the meantime，it can also detect other shellcode to fl certain extent．In addtion。its alarm probability and false alarm rate is 0ero．So。it play an active role in shellcode detection． Key wOnls：shelleode engine；opeode；character detection 0 引 言 sheNcode的shellcode引擎也