一种新的格式化串读写越界防御模型.pdfVIP

第 3l卷第2期 菏 泽 学 院 学 报 2009年3月 V01．31 No．2 JournalofHezeUniversity Mar． 20o9 文章编号：1673-2103(2009)02—0062一o4 一 种新的格式化 串读写越界防御模型 黄玉文 ，马瑞兴 ，李 肖坚ll (1．广西师范大学计算机与信息工程学院，广茵桂林 541004；2．广西经济管理干部学院计算机系，广西南宁530007； 3．北京航空航天大学北京市网络技术重点实验室，北京100083) 摘 要：格式化串读写越界漏洞危害性非常大．介绍了格式化串读写越界的基本原理和现有防御技术， 提出了一种新的格式化串读写越界防御模型；该防御模型能够对格式化串读写越界行为进行保护、检测、响 应和恢复．最后给出了该模型的实现． 关键词：格式化串；读写越界；防御；虚拟机 中图分类号：即 393．08 文献标识码 ：A 格式化串读写越界漏洞在 1999年9月被发现，特别是2000年6月22日利用wu—ftpd2．6．0格式 化串读写越界漏洞的信息在BugTraq公开发布后，越来越多的格式化串读写越界漏洞被发现和被利用…．国 际著名的安全漏洞组织 CVE(CommonVulnerabilitiesExposures)披露，在2001～2006年，格式化字符串漏 洞平均每年53起，其中2006年为62起 ．格式化字符串漏洞的历史要比缓冲区溢出短得多，但是格式化字 符串漏洞攻击可以向任意地址写任意内容，它的危害也是非常致命的． 1 格式化串读写越界基本原理和现有防御技术 格式化串函数通过定义在库函数的一组宏来实现 ]，格式化串函数的实现过程如下： 1)首先使指针指向格式化串和输人输出列表的第一个参数，分别称为格式化串指针和参数指针． 2)利用格式化串指针读取格式化串中的字符，所取字符有四种情况，分别作如下处理： ① 如字符为普通字符和转义字符，接收原样输入和输出； ②如字符为’＼O’，转向4； ③如字符为格式化参数，对参数指针所指向的内容进行数据输入输出，通过分析格式化参数，后移 参数指针指向输入输出数据以后的空间，若此空间内容不是参数列表中的参数，则发生格式化串 读写越界，对此越界内容进行输入输出． 3)反复执行 2． 4)格式化串函数执行结束． 格式化串函数只是通过分析格式化串中的格式化参数确定输入输出目标的个数，而不考虑输入输出的 目标是否存在，故发生格式化串读写越界现象．目前，格式化读写越界的防御技术主要有静态防御技术和动 态防御技术．静态防御技术主要通过分析程序中的源代码来检测程序中格式化读写越界漏洞的存在．静态防 御技术优点是不需要执行程序，查找速度快，适合 自动化检测；缺点是适应性不强，存在大量误报．动态防御 技术是在程序运行过程中，通过监测程序的运行状态来检测是否发生了格式化串读写越界，动态防御技术的 优点是准确率高，针对性强；缺点是系统开销大，技术复杂，对分析人员要求高，且大都无法防御拒绝服务攻 击．常用的格式化串读写越界防御技术有类型限制技术、词法分析技术 4【】、库增强技术 】、White—Listing技 术 等． · 收稿 日期：2008—12—10 基金项目：国防科工委国家信息关防与网络安全保障可持续发展计划项目(2002一研2一A一007) 作者简介：黄玉文(1978一)，男，山东单县人 ，在读硕士研究生 ，研究方向：网络技术． 李 肖坚(1961一)，男，广西柳州人 ，副教授，博士，硕士研究生导师，研究方向：虚拟现实、网络安全技术． 62 2009年 黄玉文，等：一种新的格式化串读写越界防御模型 第2期 2 一种新的格式化串读写越界防御模型 1998年5月，美国公布了由国家安全局 NSA起草的 1．0版本 LArIF(InformationAssuranceTechnical Framework)．1999年8月31日IATF论坛发布了IATF2．0版本 ，2000年9