基于地址完整性检查函数指针攻击检测.docVIP

基于地址完整性检查函数指针攻击检测 　　摘要：针对传统函数指针攻击检测技术无法检测面向返回编程（ROP）攻击的问题，提出了一种基于跳转地址完整性检查的新方法，在二进制代码层面能够检测多种类型的函数指针攻击。首先，通过静态分析得到函数地址信息，然后动态检查跳转目标地址是否位于合法函数区间。分析了非入口点跳转，提出一种动静结合方法检测ROP攻击。基于二进制代码插桩工具实现原型系统fpcheck，对真实攻击和正常程序进行了测试。实验结果表明fpcheck能够检测包括ROP在内的多种函数指针攻击，通过准确的检测策略，误报率显著下降，性能损失相比原始插桩仅升高10%～20%。 　　关键词：缓冲区溢出；面向返回编程；非入口点跳转；动态分析；二进制代码插桩 　　中图分类号： TP309； TP311 文献标志码：A 　　Abstract： Traditional detection techniques of function pointer attack cannot detect ReturnOrientedProgramming （ROP） attack. A new approach by checking the integrity of jump address was proposed to detect a variety of function pointer attacks on binary code. First， function address was obtained with static analysis， and then target addresses of jump instructions were checked dynamically whether they fell into allowed function address space. The nonentry function call was analyzed， based on which a new method was proposed to detect ROP attack by combining static and dynamic analysis. The prototype system named fpcheck was developed using binary instrumentation tool， and evaluated with realworld attacks and normal programs. The experimental results show that fpcheck can detect various function pointer attacks including ROP， the false positive rate reduces substantially with accurate policies， and the performance overhead only increases by 10% to 20% compared with vanilla instrumentation. 　　Key words： buffer overflow； ReturnOrientedProgramming （ROP）； nonentry function call； dynamic analysis； binary instrumentation 　　0 引言 　　缓冲区溢出是漏洞攻击最常采用的手段，被溢出的数据称为弱点数据，包括控制流数据与非控制流数据[1]，针对前者的攻击远多于后者。控制流数据影响程序执行流程。常见的控制流数据有返回地址、结构化异常处理（Structured Exception Handling， SEH）等。针对不同类型的控制流数据有不同攻击手段，如栈溢出[2]、堆溢出等。安全研究人员设计相应机制用于检测或阻止攻击，例如栈返回地址保护[3]、地址随机化（Address Space Layout Randomization， ASLR）[4]、栈不可执行技术（Data Execution Prevention， DEP）等。这些防御技术在一定程度上增强了程序与操作系统的安全性，攻击者开始寻找新的可被利用的控制流数据与攻击代码执行方式。函数指针是C/C++提供的一种灵活编程手段，在提供程序编写便利同时带来严重安全隐患，近年来通过覆盖函数指针的漏洞攻击被黑客广泛采用（尤其是浏览器），同时堆喷射[5]大大提高了实际攻击效果。 　　攻击代码执行方面，传统技术有普通shellcode与面向libc库（returntolibc）[