基于数据流分析的网络协议逆向解析技术

对未知网络协议进行逆向解析在网络安全应用中具有重要的意义。现有的协议逆向解析方法大都存在无法处理加密协议和无法获取协议字段语义信息的问题。针对这一问题,提出并实现了一种基于数据流分析的网络协议解析技术。该技术依托动态二进制插桩平台Pin下编写的数据流记录插件,以基于数据关联性分析的数据流跟踪技术为基础,对软件使用的网络通信协议进行解析,获取协议的格式信息,以及各个协议字段的语义。实验结果证明,该技术能够正确解析出软件通信的协议格式,并提取出各个字段所对应的程序行为语义,尤其对于加密协议有不错的解析效果,达到了解析网络协议的目的。     

二进制环境下的缓冲区溢出漏洞动态检测

提出一种在二进制环境下挖掘缓冲区溢出漏洞的方法。结合动态与静态挖掘技术对二进制环境下的程序作进一步的漏洞查找。静态方法主要对二进制程序中函数栈帧的特征和汇编语句的内在语义关系进行分析,动态模拟方法为程序和函数提供了一个虚拟的运行环境,使程序在运行过程中结合一些静态特性得到该函数缓冲区变量的内存读写语义,最终判定程序中是否有缓冲区溢出。     

“二进制审核”方式的缓冲区溢出漏洞挖掘

提出一种在二进制环境下挖掘缓冲区溢出漏洞的方法。结合动态与静态挖掘技术对二进制环境下的程序作进一步的漏洞查找.静态方法主要对二进制程序中函数栈帧的特征和汇编语句的内在语义关系进行分析,动态模拟方法为程序和函数提供了一个虚拟的运行环境,使程序在运行过程中结合一些静态特性得到该函数缓冲区变量的内存读写语义,最终判定程序中是否有缓冲区溢出。     

基于动态二进制分析的网络协议逆向解析

研究未知网络协议逆向解析技术在网络安全应用中具有重要的意义。基于此,介绍网络协议逆向解析技术的发展现状,分析基于网络轨迹和基于数据流的2种主要解析方法,提出一种基于动态二进制分析技术的逆向解析方法,并选取DynamoRIO平台作为支撑,实现对数据流信息的记录和分析,从而解析出单条协议消息中主要的协议域。     

软件网络通信过程逆向分析及可视化技术研究

针对软件逆向分析中遇到的软件网络通信过程复杂,分析耗时的问题,提出了软件网络通信过程逆向分析及可视化方法.利用动态二进制平台DynamoRIO记录软件网络通信过程中执行的API函数信息,对记录结果进行函数关联性分析,结合图形化工具软件aiSee,将软件网络通信过程以图形化形式展现.实验结果表明,该方法能够在不影响程序的情况下通过程序的一次运行即正确解析并可视化其网络通信过程.     

恶意软件网络协议的语法和行为语义分析方法

网络协议逆向分析是恶意软件分析的一项重要内容.现有的网络协议逆向分析方法主要考虑获取消息格式和协议语法,缺少数据的行为语义,导致分析者难以在网络数据和恶意软件行为之间建立起对应关系.提出一种网络协议的语法规范和字段行为语义分析方法,该方法利用基于虚拟执行环境的动态程序分析技术,通过分析恶意软件对网络数据的解析过程提取协议语法信息,并根据恶意软件对协议字段的使用方式获取字段的程序行为语义.通过结合API拦截和指令执行监控,该方法降低了分析复杂度,提高了分析效率.在所设计和实现的原型系统Prama(protocol reverse analyzer for malware analysis)上的实验结果表明,该方法能够较为准确地识别字段,提取协议语法规范,并能在命令字段与其引起的程序行为之间建立起有效的对应关系.     

基于DynamoRIO的恶意代码行为分析

提出一种基于动态二进制分析的恶意代码行为分析方法,以动态二进制分析平台DynamoRIO为基础设计实现恶意代码行为分析的原型系统.实验结果证明,该系统能够全面地获取恶意代码的API调用序列和参数信息,通过对API调用的关联性进行分析,准确得到恶意代码在文件、注册表、服务及进程线程操作等方面的行为特征.     

基于动态符号执行的二进制程序缺陷发现系统

以对二进制程序进行自动化缺陷发现为目标, 基于软件虚拟机的动态二进制翻译机制和污点传播机制, 对符号计算需要关注的程序运行时语义信息提取、中间语言符号计算等机制进行了研究, 改进了传统动态符号执行的路径调度部分, 分析了程序缺陷的符号断言表达形式, 构建了一个在线式的动态符号执行系统检测二进制程序中的缺陷。实验验证了该方法在实际程序缺陷发现中的有效性。     

多种动态二进制代码插入框架的研究与分析

随着软件系统功能的日益强大,软件编写的代码量呈指数趋势增长,程序错误控制和程序性能优化变得越来越困难。为了在代码量增加的情况下,有效控制程序质量,改进程序性能,程序员大多采用动态二进制分析工具进行程序分析。动态二进制代码插入框架有效地简化了动态二进制工具的构建,因此准确掌握每种动态二进制代码插入框架的特征,成为准确构建不同工具的前提。本文通过对常用的五种二进制代码插入框架进行深入研究分析,总结归纳了每种框架的特点和特定情况下的适用性,为在工具构建过程中进行框架的准确有效选择提供了参考。     

基于函数语义分析的软件补丁比对技术

基于结构化的补丁比对是软件漏洞辅助分析的重要方法。在分析总结已有补丁比对技术及反补丁比对技术的基础上,针对结构化比对存在无法进行语义分析而导致误报的问题,提出了基于函数语义分析的软件补丁比对方法。利用传统的结构化比对方法,在函数级进行语法差异比较得到最大同构子图;通过程序依赖分析,构建函数输入输出之间的路径包络,基于符号执行以包络为对象计算函数输出特征;通过函数摘要进行语义级比对,结合最大同构子图的匹配函数结果,进一步分析得出发生语义变化的函数。最终,通过实验比对测试,验证了所提方法的可行性和优势。     

动态指令流差分分析在恶意软件分析中的应用*

针对静态分析方法已不能满足安全分析的需求,而传统的动态分析技术不能快速定位关键信息,且分析效率不高,提出了一种动态指令流差分分析技术,描述了差分分析模型和分析方法。该分析技术能够高速有效地分析恶意软件的关键数据,识别加密算法,分析混淆代码的功能模块和数据扩散情况。通过实验对其可行性和高效性进行了验证。     

网络传感器操作系统设计

针对网络传感器节点有限硬件资源约束的特性,分析了现有操作系统设计的不足,以Arena操作系统为基础,设计了一种新的操作系统软件架构。这个架构允许操作系统功能模块和应用程序模块在系统运行时动态加载和替换,保障系统代码的安全升级,实现低能耗、高可信的操作系统功能,并支持网络传感器系统的可重构和自适应能力。     

二进制代码安全分析综述

近几十年来,计算机硬件性能和软件规模技术已不同以往,其承载了人类社会生活生产的方方面面.计算机技术的飞速发展,也带来了人们对程序安全问题的关注.由于市面上存在着较多的遗留软件,这些软件无人维护且缺乏源代码支持,其安全性令人担忧,而二进制分析技术被用来解决该类软件问题.二进制分析技术根据其检测方式不同可分为:基于静态的二进制代码分析技术、基于动态的二进制代码分析技术和动静态混合的二进制代码分析技术.本文调研了近年来的二进制代码安全分析领域上相关研究,分别详细阐述了这3类技术中的主要方法,并对其关键技术进行详细介绍.     

一种自动分析网络软件时延的工具

网络软件实现的复杂性及运行的动态性增加了精确分析时延出现原因的难度.利用先进微处理器提供的性能监视功能和操作系统网络软件实现的特点,NetSlice提供了一种新颖、模块化且具有良好扩展性的自动分析网络软件时延的方法.首先介绍NetSlice的体系结构、各组成部分的功能和关系,然后分析其性能开销和应用策略,最后给出Linux操作系统中TCP发送过程的时延分析结果.实验结果表明,NetSlice非常有助于发现造成网络软件时延的真正原因.     

波浪浮标服务器端软件设计

传统采用VHF通信的波浪浮标系统需要架设岸站接收机,采用GPRS无线通信解决方案的波浪浮标系统可以省去岸站接收机的费用,并且性能更加稳定可靠。本文主要介绍了服务器端通信模块的设计、数据处理处理模块的设计。软件的编辑使用VisualC++6.0软件,通信模块的设计采用MFC封装的CSocket类,CSocket类派生于完全封装了WindowsSocketsAPI函数的CAsyncSocket类,采用CSocket类可以更加方便地编写网络应用程序。数据处理模块采用了MATLAB与VisualC++混合编程,利用MATLAB留有的动态链接库DLL外部接口可以很方便地将MATLAB功能嵌入到VisualC++的MFC工程中,利用MATLAB与VisualC++混合编程可以方便地进行海浪频谱分析。     

目标码动态测试框架的设计及实现

在提出了一种支持多种测试数据构造方式,具有异常监测及自动化分析模块的目标码动态测试框架。并按照该框架实现了对文件格式处理软件的安全性进行测试的原型系统DT,该系统实现了执行参数输入和缺陷注入两种测试方法。为了验证系统的有效性,以MS Office软件近两年来的公开漏洞为例对DT系统进行了测试,实验结果表明这些漏洞都可以通过测试发现。     

基于动态故障树的信息物理融合系统风险分析

针对信息物理融合系统（CPS）中的网络安全攻击会导致系统失效的问题，提出一种基于动态故障树的CPS风险建模及分析方法。首先，对动态故障树和攻击树集成建模，构建攻击-动态故障树（Attack-DFTs）模型；然后，分别采用二元决策图和输入输出马尔可夫链给出攻击-动态故障树中的静态子树和动态子树的形式化模型，并在此基础上给出攻击-动态故障树的定性分析方法，即分析网络安全攻击导致系统失效的基本事件路径；最后，通过一个典型的排污系统应用实例对方法的有效性进行验证。案例分析结果表明，所提方法能够分析CPS中由于网络安全攻击导致系统失效的事件序列，有效实现了CPS的综合安全评估。