基于地址完整性检查的函数指针攻击检测.pdfVIP

JournalofComputerApplications ISSN 1001．9081 2015．02．1O 计算机应用，2015，35(2)：424—429 CODEN JYIIDU http：／／www．joca．ca 文章编号 ：1001—9081(2015)02—0424—06 doi：10．11772／j．issn．1001—9081．2015．02．0424 基于地址完整性检查的函数指针攻击检测 代 伟 ，刘 智 ，刘益和 (I．内江师范学院计算机科学学院，四川 内江641112； 2．电子科技大学 计算机科学与工程学院，成都611731) ( 通信作者电子邮箱roodaiwei@hotmail．corn) 摘 要：针对传统函数指针攻击检测技术无法检测面向返回编程 (ROP)攻击的问题，提出了一种基于跳转地址 完整性检查的新方法，在二进制代码层面能够检测多种类型的函数指针攻击。首先，通过静态分析得到函数地址信 息，然后动态检查跳转 目标地址是否位于合法函数区间。分析了非入 口点跳转，提 出一种动静结合方法检测 ROP攻 击。基于二进制代码插桩工具实现原型系统fpcheck，对真实攻击和正常程序进行 了测试。实验结果表明fpcheek能 够检测包括 ROP在 内的多种函数指针攻击，通过准确的检测策略，误报率显著下降，性能损失相比原始插桩仅升高 10％ 一20％ 。 关键词 ：缓冲区溢出；面向返回编程；非入 口点跳转；动态分析 ；二进制代码插桩 中图分类号：TP309；TP31l 文献标志码：A Functionpointerattack detectionwi廿laddressintegritychecking DAIWei ．LIU Zhi．LIU Yihe (1．CollegeofComputerScience，Ne~iiangNormalUnive~ity,Ne~angSichuan641112，China； 2．SchoolofComputerScienceandEngineering，UniversityofElectronicSceinceand TechnologyofChina，ChengduSichuan611731，China) Abstract：TraditionaldetectiontechniquesoffunctionpointerattackcannotdetectReturn—Oriented—Programming(ROP) attack．Anewapproachbycheckingtheintegrityofjumpaddresswasproposedtodetectavarietyoffunctionpointerattacks onbinarycode．First，functionaddresswasobtainedwithstaticanalysis，andthentargetaddressesofjumpinstructionswere checkeddynamicallywhethertheyfellintoallowedfunctionaddressspace．Thenon—entryfunctioncallwasanalyzed，basedon whichanew methodwasproposedtodetectROP attack bycombiningstaticand dynamicanalysis．Theprototypesystem namedfpcheckwasdevelopedusingbinaryinsturmentationtool，andevaluatedwithreal—worldattacksandnon~nal prorgams． Theexperimental resultsshow th