二进制环境下的缓冲区溢出漏洞动态检测.pdfVIP

第34卷 第22期 计 算 机 工 程 2008年 11月 VoL34 N0．22 ComputerEngineering November2008 · 安全技术 · 文章编号：1ooo__3428(20o8)22．l87__02 文献标识码：A 中豳分类号；TP311．13 二进制环境下的缓冲区溢出漏洞动态检测 夏 超，邱卫东 (上海交通大学密码与信息安全实验室，上海 200240) 摘 要 ：提出一种在二进制环境下挖掘缓冲区溢出漏洞的方法。结合动态与静态挖掘技术对二进制环境下的程序作进一步的漏洞查找。静 态方法主要对二进制程序中函数栈帧的特征和汇编语句的内在语义关系进行分析，动态模拟方法为程序和函数提供了一个虚拟的运行环 境，使程序在运行过程中结合一些静态特性得到该函数缓冲区变量的内存读写语义，最终判定程序中是否有缓冲区溢出。 关健词：动态检测；虚拟运行环境；语义 DynamicDetection0fBuffer-overflOW Vulnerabilities inBinaryEnvironment XIAChao．QIUWei-dong (CryprographyandInformationSecurityLab，ShanghaiJiaotongUniverisity，Shanghai200240) [Abstract]ThispaperproposesamethodtOdetectbuffer-overflowvulnerabilitiesforexecutables．Combiningdynamicanalysisandstaticanalysis， itmakesfurtherdetection ofbuffer—overflow vulnerabilities．Staticmethodsmainly dealwiht theinternalsemanticrelationship ofassembly instructionsandthepropertiesofafunction’Sstackframeforexecutables．Dynamicemulationprovidesavirtualrtln—timeenvironment，which enablesthe program tO combine its staticpropertieswhile virtually executed，and hten itcangetthe function’Ssemantic resultsonbuffer manipulation，anddetemr inewhehterthereisabuffer-overflow vulnerability． [Keywords]dynamicdetection；virtualDdn—timeenvironment；semantic 目前针对缓冲区溢出漏洞攻击的防范技术分析主要分为 转换，函数扫描引擎和动态运行环境。中间表示转换主要是 静态分析和动态分析。静态分析主要是对程序进行扫描，判 将汇编指令转换成一棵中间表示树，着重刻画每条汇编中内 别缓冲 区的位置和大小 ，对一些可疑点 (如 strcpy／strcat／ 在操作数之间的关系。函数的扫描引擎是从汇编指令中识别 sprintf函数调用处)进行一定的上下文相关分析，然后进行溢 出函数的局部变量和参数的个数、大小(变量的 ALLOC属 出判断。特点是速度快，缺点是分析不够精准，容易造成误 性)、位置。这2部分主要对二进制程序进行静态分析。最后， 报。动态分析实际上是一种黑盒测试，通过构造一些参数， 动态运行环境基于前面2个部分的分析结果，动态运行函数， 然后施以一定的测试模式(暴力测试、边界测试等)。这种做