基于进程模拟和中间语言的密码算法识别 - LoCCS.PDFVIP

摘要 基于进程模拟和中间语言的密码 应用软件通常加密关键代码和数据来避免逆向分析，因此检测软件中的加 算法识别 密函数并提取密钥是程序安全分析中的关键步骤。在大量二进制数据中进行自 动化密码算法检测是一个复杂的过程，其主要挑战在于需同时保持高效性和精 确性。我们提出了一种增强的检测方案，该方案首先使用新的进程级模拟技术 Lab of Cryptology and Computer Security 来进行程序的高效模拟执行，进而使用基于中间语言的程序划分和翻译方法来 简化分析流程，最后使用基于模板的算法匹配和动态数据验证来检测算法并提 取参数。我们将该方法应用于使用常用密码库或自行编写的示例程序，有关结 联系人：谷大武 教授 Email: dwgu@ 果表明这些密码库和示例程序中的加密算法能够被高效检测。该分析系统也为 分析人员提供了方便易用的接口，用于检测除密码算法外的通用算法。 相关成果 Caballero et al. (2009) ：特征指令 Grӧbert et al. (2011)：数据IO关系；算法特征 简介 Zhang et al. (2011) ：运行时数据 Zhao et al. (2011) ：数据IO关系 待解决问题 性能开销过大，不适合大规模分析 难以应对软件保护 难于扩展分析环境 无法防范可能的恶意行为 商业软件通常加壳保护，入 程序与远程服务器通信时通常将数据 口点脱壳函数包含解密算法 加密以防止信息泄露 LochsEmu进程模拟器 获取程序中包含的密码算法是程序 分析的关键步骤 LochsEmu进程模拟器 1 2