ARM二进制敏感性数据检测方法分析研究.docVIP

ARM二进制敏感性数据检测方法研究-电气论文 ARM二进制敏感性数据检测方法研究 余凯，梁光明，杨世德 （国防科学技术大学电子科学与工程学院，湖南长沙410073） 摘要：相对于PC成熟的安全防护而言，嵌入式安全依旧处于薄弱状态。以ARM为研究对象，结合ARM指令体系的结构和特点，为实现对二进制可执行文件BIN中是否存在对硬件模块的操控，展开敏感性信息的匹配，预警恶意操作，并提出半定型建模匹配方式，加快了代码定位分析效率。 关键词 ：二进制可执行文件；ARM指令；敏感信息；半定型建模 中图分类号：TN702?34 文献标识码：A 文章编号：1004?373X（2015）15?0050?03 收稿日期：2015?01?29 0 引言 随着现代电子技术的不断发展，信息系统规模和复杂度逐步增加，随之而来的信息安全问题的严重性也在不断提高，软件安全问题显得尤为突出[1]。出于对自身商业利益和知识产权的保护，大部分软件厂商并不会提供源代码，因此对二进制程序进行安全检测是当前研究的一大主流方向[2]。 当前随着恶意代码数量的增多，病毒库越来越庞大，利用传统的模式匹配算法导致耗费的时间不断增大，已经不能满足实际应用。另外，随着恶意代码编写技术的发展，当前的恶意代码大多采用加密等技术对自身进行保护，这样就更进一步降低了传统检测方法的准确性[3]。为了解决这一问题，最有效的方法是归纳总结出一类恶意代码的行为特征，将传统的二进制特征匹配提升到行为特征匹配，才能利用尽可能少的特征检测出尽可能多的恶意代码[4]。常见嵌入式设备控制模块有处理器模式设置、看门狗开关、中断开关、MMU控制、时钟控制等，这些模块的控制入口都是敏感信息，通过对BIN 文件这些敏感信息的匹配可以有效地对代码可能存在的恶意操作进行预警。 传统的单模式匹配算法主要有BF，KMP，BM 算法及Sunday 算法。BF 算法实现简单，但匹配效率很低；KMP 算法比BF 算法有所改进；BM 算法则比KMP 算法的检测速度快3~5倍[5]；在短模式匹配中，Sunday是目前速度最快的算法[6]。这些传统方法不适合于二进制文件的信息匹配[7]，也没有重定位功能。因此，本文结合ARM指令架构特点，提出半定型匹配算法，通过实验证明了该算法的可靠性和高效性。 1 半定型建模 源代码可能千差万别，但经过工具编译成汇编语言时，具有极大的相似性。一是主要体现在高级语言指令多样，而且还在不断扩展，但汇编指令有限，单一的高级语言程序经常由多条汇编语言组合而成，这些汇编指令很相似。二是体现在机器编译的过程中会将代码进行优化，使其符合标准编程格式，这样使得编译生成的汇编语言结构相似。ARM数据类指令格式解析，如图1所示。其中，cond 表示执行条件；I表示shifter_operand 是立即数还是寄存器；Opcode是指令标记码；S 表示执行结果是否影响CPRS；Rn表示源寄存器；Rd表示目标寄存器；shifter_operand表示源操作数。 由图1 明显可以看出，同一型的指令如MOV 和MVN 的机器码结构几乎一样，不同型的指令如CMP和ADD 的指令结构差异较大，所以对于不同指令的匹配应当具有针对性。结合ARM 32/16位指令结构，本文提出半定型建模匹配方式。针对不同的指令进行预匹配，即第一步仅匹配特征区域，对于不关心的区域进行选择性忽视，只有当预匹配成功后对该指令进行深层匹配。以32位指令为例，将单一32位二进制码拆分成若干位段，特征区域所在位段将其称作子串，进行信息匹配时，仅需对子串进行对比。其中数据类处理指令的半建模匹配位段如图2所示。 进行二进制信息匹配的过程中，对于这些机器码可以采用半定型建模方式进行匹配定位，即针对需要匹配的指令，只匹配有意义的位段，如第一步只匹配执行条件、指令标记码等，而立即数或寄存器等信息根据需要进行匹配，这样可以极大地提高匹配效率。 2 半定型匹配算法 传统的代码检测，使用各种模式匹配方法，实现方法归结为字符串匹配问题。由BF算法从左向右的逐字节比较，到Sunday算法从右向左比较的演变，解决了尽可能跳过更多的字符，加速匹配的问题。但这种方式，对于嵌入式的二进制代码检测而言并不高效。以ARM为例，其支持ARM和THUMB两种指令模式，分别为32位和16位代码格式。若干字节的跳转，在很多时候没有意义。针对ARM 的代码检测，其步长就应当固定为32或16，所以本文针对ARM二进制文件的特殊性，提出半定型匹配算法HSM，如图3所示。 半定型算法分为两种工作模