以关规则法分析攻击探测程式之缓冲区溢位防治研究.pdfVIP

TANET2007臺灣網際網路研討會論文集〔一〕 以關聯規則法分析攻擊探測程式之緩衝區溢位防治研究 李常友陳嘉玫 鄭炳強 趙善中 林孝忠 國立中山大學資訊管理系 d934020003@.tw 摘要 記憶體位址取代原始的返回位址，因為返回位址的 變更而致使程式的流程改變，攻擊者可以事先植入 隨著軟體應用程式與網際網路的發展，其所伴 攻擊程式在記憶體的某處，再以緩衝區溢位手法將 隨而來的安全問題也日益嚴重。緩衝區溢位是軟體 攻擊程式的記憶體位址取代掉原始的返回位址，進 寫作上不可避免的問題，根據每年安全通報資料顯 而誘導程式流程轉向執行攻擊者的程式，以達成攻 示，許多安全上的漏洞源自於緩衝區溢位，並成為 擊的目的。通常程式都以系統管理者權限執行，因 駭客入侵攻擊的重大來源。軟體應用程式的一般使 此攻擊者能利用緩衝區溢位以取得系統管理者的 用者通常只能依靠軟體廠商發布的更新程式來防 執行權限，進而輕易地在受害系統上為所欲為，故 止因緩衝區溢位造成的攻擊，於是在尚未使用更新 緩衝區溢位攻擊的威力是相當強大的。 程式前，如何避免軟體遭受到緩衝區溢位攻擊、儘 在撰寫程式時，只要對於輸入資料檢查不夠完 量延長軟體使用的安全時效是防治緩衝區溢位的 善就有可能產生潛在性緩衝區溢位的風險，因此緩 重點。藉由搜集、分析駭客使用的攻擊探測碼可建 衝區溢位常常成為應用軟體弱點來源之一，不論何 立起整體緩衝區溢位攻擊手法的模式，並可將此模 種類型、平台的應用程式皆有存在緩衝區溢位的可 式作為未來防治緩衝區溢位攻擊的基礎。 能性。 近代相關緩衝區溢位的弱點不但數量多，且一 關聯法則能夠發掘未知事物間的關聯性，因此 直占有相當大的弱點比例，因此緩衝區溢位的問題 可以協助建立緩衝區溢位攻擊間共有的特徵模 時至今日依然尚未獲得有效的解決，且過去許多造 式。本研究應用關聯法則以建立緩衝區溢位攻擊模 成重大影響的著名蠕蟲，如 Code Red 、SQL 式，找出攻擊探測碼裡系統呼叫間的關係，實驗並 Slammer 、Blaster 等都是以緩衝區溢位為基礎的攻 建立可區分攻擊行為與正常行為的系統呼叫規 擊方式。雖然相關的研究已行之有年，但到目前仍 則。根據關聯法則建立的規則能夠正確地偵測出緩 然是值得發展與探討的領域。 衝區溢位攻擊，同時在誤判率也有很好的表現，進 緩衝區溢位問題的根源發生在原始程式有心 而能夠協助建立偵測到攻擊後的防範措施，降低系 或無意地撰寫失當，沒有適當地檢查記憶體的緩衝 統遭受緩衝區溢位攻擊的嚴重性。 區是否可能造成溢位，因此理論上要真正解決與防 關鍵詞 ：緩衝區溢位、攻擊探測碼、關聯法則、 治其實很簡單與直覺，只要比對原始程式裡所有資 系統呼叫。 料的大小與輸入時的大小，藉此檢查是否有無超越 界限的情況發生，並修正原始程式