格式化串读写越界防御虚拟机研究.docVIP

格式化串读写越界防御虚拟机研究 　　摘要：针对现有格式化串读写越界防御存在的问题，设计一种能够防御格式化串读写越界的虚拟机。通过分析格式化串读写越界防御虚拟机的行为，提出一种新的格式化串读写越界防御模型，给出了格式化串读写越界防御虚拟机的概要设计和详细设计。实验表明，该防御虚拟机能够加载和执行用户程序， 能控制程序的执行流程，记录越界发生时进程内的内容，并提供保护、检测、响应和恢复功能。 　　关键词：格式化串；读写越界防御；虚拟机 　　中图分类号：TP309.1 文献标识码：A 文章编号：1009-3044（2015）03-0026-04 　　Research of Reading-writing-cross-border Defense Virtual Machine for Format String 　　HUANG Yu-wen 　　（College of Computer Science and Information Engineering，HeZe University，Heze 274015， China） 　　Abstract： Aim to the probelems of reading-writing-cross-border defense for format string， design a virtual machine that can defense reading-writing-cross-border action for the formatted string. By analyzing the reading-writing-cross-border action of the formatted string， puts forward a new kind of reading-writing-cross-border defense model for format string， and gives the summary and detailed design the reading-writing-cross-border defense virtual machines. Experiments show that the defense virtual machine can load and execute the user programs， and can control the execution process， record the content of the cross-border occurs within a process， and provide the function of the protection， the detection， the response and the recovery. 　　Key words：format string；reading-writing-cross-border defense；virtual machine 　　1 研究背景 　　1999年9月， Tymm Twillman发现第一个格式化串读写越界漏洞，当时没有引起重视。2000 年6月， BugTraq公开发布wu-ftpd2.6.0软件的格式串读写越界漏洞，格式串读写越界漏洞的危害开始逐渐被引起重视[1]。截止到2013年10月，中国国家安全漏洞库网站已发布格式化串读写越界漏洞362个，Common Vulnerabilities and Exposures（CVE）网站已发布格式化读写越界漏洞740个。格式化读写越界漏洞出现的历史虽然比较短，但攻击者可以利用这些漏洞进行远程攻击，并可以往任意地址写任意内容，格式化串读写越界攻击是非常致命的[2]。 　　现有格式化读写越界防御方法包含静态和动态两种方式，静态防御方法不执行源程序，通过词法分析方式检测格式化串读写漏洞的存在，常用的静态检测工具有Pscan和Cqual等[3]。动态防御方法在程序运行中进行，常用的动态防御工具有Libformat、FormatGuard、Whitelists[4]和FormatShield[5]等。静态防御方法对源程序进行检测，而很多时候源程序无法获取，并且静态防御方法存在较多误报。现有动态防御方法在程序运行过程中检测到错误，但并不能阻止程序的执行。针对现有格式化串读写越界防御存在的问题，本文设计一种能够防御格式化串读写越界的虚拟机，虚拟机在程序的执行过程中，通过时刻检测、控制部分关键指令来防御格式化串读写越界。当读写越界发生时，能控制程序的执行流程，记录越界发生时进程内的内容，并提供保护、检测、响应和恢复功能。 　　2 格式化串读写越