基于QEMU的程序行为监视系统设计与实现.pdfVIP

g 信息技术 2016 _f第12. J物，吵 路伽旬， 文章编号:1仪防 -2552(2016) 12 - 0116 -05 001:10. 13274/j. cnki. hdzj. 2016.12.026 基于 QEMU 的程序行为监视系统设计与实现 蒋传勇1 气姚立红1 ，2 ， 3 (1.上海交通大学电子信息与电气工程学院，上海 2∞240; 2. 上海市信息安全综合管理技术研究重点实验室，上海2∞240; 3. 南京大学计算机软件新技术国家重点实验室， 南京21∞93) 摘 要: 虚拟机监视器 (Virtual Machine Monitor , VMM) 具有强隔离性、高透明性的特点，成 为研究系统行为和程序行为的热点。 文中针对利用 VMM 带来的语义鸿沟问题，选择开源虚拟机 软件 QEMU 做为 VMM，提出了一种基于 QEMU 的程序行为监控方法，通过对QEMU 结构及实现 原理的分析，利用 QEMU 内建函数和嵌入钩子函数的方式获取程序行为的低层(Low-level) 数 据，完成对进程行为的视图重构，并提取出程序的关键行为数据，以作为对程序检测的重妥依 据。 实验结果表明该方法能有效提取程序的行为数据并重构出关键的行为信息。 关键词: 虚拟机监视器;程序行为;QEMIj ; 语义鸿沟 中图分类号: 霄309.5 文献标识码:A Design and implementation of QEMU-based program behavior monitoring system JIANG Chuan-yong1 ,2 , YAO Li-hong1 ,2 ,3 (1.ScbωI of Electronic Information and Electrical Engineeri吨， Sbanghai Jiaotong University , Shangh创 2∞240， China; 2. Key Lab or Integrated Management or Information sec町坷， Shanghai， Sbanghai 2∞240 ， China; 3. State Key Lab ror Novel Software Technology , Nanjing University , Na风jing 21∞93 ， China) Abstract: Considering 由at a virtual machine monitor ( VMM) which has both the characteristics of strong isolation and high transparency , it becomes popular among information security researchers . This paper uses QEMU as a VMM to fix the semantic gap issue , and presents a QEMU-based program behavior extraction model. Mter doing the analysis for QEMU structure and desi伊 principle ， the low- level data of program behavior from the VMM layer can be captured via QEMU built-in functions or/and implanted hooks and then reconstruct them to high-level view of the program . The key data of the