基于资源访问控制的控制流劫持检测与防御体系构建.docxVIP

基于资源访问控制的控制流劫持检测与防御体系构建

一、引言

1.1研究背景与意义

在信息技术飞速发展的当下，计算机软件已深度融入人们日常生活与各行业关键业务流程，其安全性至关重要。然而，软件开发者的疏忽与编程语言固有的局限性，致使安全漏洞在计算机软件中普遍存在。自1988年Morries利用缓冲区溢出漏洞编写蠕虫病毒，瘫痪大量网络计算机以来，网络攻击尤其是控制流劫持攻击，给国家和社会带来了巨大经济损失。据相关数据统计，仅在2023年，因控制流劫持攻击导致的企业数据泄露事件就达数百起，造成的直接经济损失高达数十亿美元。

控制流劫持攻击是一种常见的针对计算机软件的攻击方式，攻击者通过构造特定攻击载体，利用缓冲区溢出、格式化字符串漏洞等软件漏洞，非法篡改进程中的控制数据，如函数返回地址、函数指针等，从而改变进程的控制流程，使其执行特定恶意代码，实现获取系统权限、窃取敏感信息、破坏系统正常运行等恶意目的。这种攻击手段对计算机系统的安全性构成了严重威胁，一旦攻击成功，攻击者可获取目标机器的控制权，甚至进行提权操作，对目标机器进行全面控制。在金融领域，攻击者可能通过控制流劫持攻击篡改交易数据，窃取用户资金；在医疗领域，可能导致医疗设备控制系统失灵，危及患者生命安全；在能源领域，可能破坏能源生产与分配系统，引发能源供应危机。

为了抵御控制流劫持攻击，研究人员提出并实现了许多防护技术，如数据执行保护（DEP）、地址空间布局随机化（ASLR）、控制流完整性（CFI）等。然而，现阶段的防御技术仍存在诸多问题，如性能开销大、兼容性差、误报率高等，不少技术尚未能进行广泛部署。因此，深入研究控制流劫持攻击的检测与防御技术，具有重要的理论价值和实际意义。

基于资源访问控制的控制流劫持检测与防御研究，旨在从资源访问的角度出发，构建一种全新的检测与防御体系，通过对资源访问行为的监控与分析，及时发现并阻止控制流劫持攻击。资源访问控制是信息安全的重要组成部分，它通过对主体（如用户、进程等）对客体（如文件、内存、网络资源等）的访问进行控制，确保只有授权的主体能够以合法的方式访问资源。将资源访问控制应用于控制流劫持检测与防御，能够利用其对系统资源访问的细粒度控制能力，精准识别出异常的资源访问行为，从而判断是否发生控制流劫持攻击，并采取相应的防御措施。这种研究思路不仅能够有效弥补现有防御技术的不足，还能为控制流劫持攻击的检测与防御提供新的方法和手段，提升计算机系统的整体安全性。

1.2国内外研究现状

国内外学者在控制流劫持检测与防御技术方面开展了大量研究工作，取得了一系列成果。

在控制流劫持攻击技术研究方面，根据攻击代码的来源，可将控制流劫持攻击划分为代码注入类攻击和代码重用类攻击。代码注入类攻击中，攻击者利用进程输入操作向被攻击进程地址空间注入恶意代码，并通过覆盖函数返回地址等手段，使进程非法执行注入的恶意代码，从而劫持进程控制流。针对此类攻击，研究人员提出了数据执行保护（DEP）机制，通过将进程地址空间中的可写部分设置为不可执行，在很大程度上抵御了代码注入攻击。然而，攻击者又探索出了代码重用攻击方式，如面向返回的编程（ROP）攻击、面向跳转的编程（JOP）攻击等。ROP攻击利用进程已有的代码片段（gadget），通过栈溢出等漏洞将各个gadget地址和其他相关数据相结合，精心构造payload，使进程在执行函数返回时，劫持控制流跳转到指定gadget，从而进行恶意操作。JOP攻击则以jmp或者call指令来串联gadget，使攻击更加灵活隐蔽。近年来，研究人员还在ARM、SPARC等平台下实现了代码重用攻击，并提出利用中间语义REIL实现平台无关的gadget搜索框架，使跨平台的ROP攻击更加容易，进一步增加了防御难度。

在控制流劫持防御技术研究方面，主要包括基于硬件的防御技术、基于软件的防御技术以及基于硬件和软件结合的防御技术。基于硬件的防御技术，如硬件虚拟化技术，通过在硬件层面提供隔离机制，保护系统免受控制流劫持攻击。基于软件的防御技术，如控制流完整性（CFI）技术，通过分析程序的控制流图，获取间接转移指令目标的白名单，并在运行过程中核对间接转移指令的目标是否在白名单中，从而限制程序运行中的控制转移，保障软件系统的安全。CFI技术又可分为粗粒度和细粒度两种方式，细粒度CFI严格控制每一个间接转移指令的转移目标，安全性高，但开销大；粗粒度CFI将一组类似或相近类型的目标归到一起进行检查，开销较低，但安全性有所下降。此外，还有基于机器学习的防御技术，通过对正常程序行为和攻击行为的学习，建立行为模型，从而检测和防御控制流劫持攻击。基于硬件和软件结合的防御技术，则综合利用硬件和软件的优势，提供更强大的防御能