动静结合的网络恶意代码检测技术研究*

针对互联网服务器的攻击行为常利用程序存在的未知漏洞展开,且手法不断更新,这使得防御技术的更新往往长时间滞后于攻击行为的发生。本文提出了一种动静结合的网络数据检测方法,该方法在传统静态分析的基础上优化了检测算法,同时引入了动态模拟运行的检测方式。通过动静结合的双重检测提高了恶意代码的识别率,并能够在代码传入实际被保护程序运行前检测确定其恶意性,实现防御系统策略的快速自动化更新,缩短了策略更新时间,提高了防御效果。本文结合该技术实现了一个N-A Detecting(网络数据检测)防御系统,试验证明,该系统能够很好的防范针对网络程序的恶意代码攻击行为。     

静态检测多态溢出攻击代码的方法

设计并实现了一套静态检测多态溢出攻击代码的方法,首先应用抽象执行思想构造控制流图,使用符号执行方法并结合Taint分析来检测攻击载荷,最后识别指定长度的填充字段来辅助检测。实验结果表明,该方法可准确识别网络数据中的多态溢出攻击代码。     

一种BPEL流程数据竞争检测方法

对使用业务流程执行语言(BPEL)组织流程中存在的数据竞争问题进行了研究,根据BPEL特性提出了一个静态分析和动态监控相结合的有效检测方法.实验结果表明,该方法能够准确检测出流程中存在的数据竞争,提高了流程的可靠性.     

基于缓冲溢出漏洞的攻击及其预防研究综述

近十几年来,由操作系统缓冲区溢出漏洞导致的攻击带来了严重的网络安全问题,它的安全危害级别相当高。如何有效地消除基于缓冲区溢出的攻击,可以消除一个相当普遍的安全隐患。本文针对缓冲区溢出漏洞的基本原理,系统分析了攻击过程,比较了不同的防御手段及其优缺点。最后介绍了综合利用现有的方法防止该攻击的发生。     

基于攻击树的木马检测方法

木马是以获取主机控制权和窃取信息为主要目的恶意程序,对网络安全和信息安全造成极大危害.研究并总结了木马攻击行为的规律,提出了一种通过静态分析PE文件采发现木马的方法.对现有的攻击树模型进行改进,设计了扩展攻击树模型,以此对木马攻击中常见的危险系统调用序列进行建模,将分析PE文件得到的API调用集合与建模得到的攻击树作匹配,来预测程序中可能存在的攻击行为,并能有效地区分木马文件和正常文件.     

基于约束分析与模型检测的代码安全漏洞检测方法研究

与传统的程序分析相比,模型检测具有较高的检测精度,但无法将其直接应用于缓冲区溢出、代码注入等安全漏洞的检测.为解决此问题,提出了基于约束分析与模型检测相结合的安全漏洞自动检测方法.首先,通过约束分析跟踪代码中缓冲区的信息,在涉及缓冲区操作的危险点生成相应的属性传递和属性约束语句,并将安全漏洞检测问题转化为模型检测方法可接受的可达性检测问题.然后,采用模型检测方法对安全漏洞的可达性进行判断.同时采用程序切片技术,以减少状态空间.对6个开源软件的检测结果表明,基于该方法实现的CodeAuditor原型系统发现了18个新漏洞,误报率为23％.对minicom的切片实验显示,检测性能有较大提高.     

一种静态分析与知识图谱结合的Java冗余代码检测方法

冗余代码普遍存在于商业和开源软件中,它的存在可能会增加内存占用,影响代码可维护性,增加维护成本。快速类型分析算法是当前Java冗余代码检测中常用的静态分析方法,该算法在虚方法分析方面还存在一些不足。XTA是一种调用图构造算法,在处理虚方法的调用方面具有较高的精度和效率。文中提出了一种基于XTA调用图构建算法的方法来检测Java代码中的冗余代码,在一个名为“RCD”(Redundant Code Detection)的工具原型中实现了这种方法,并通过构建知识图谱辅助人工审查,以提高人工审查的效率以及冗余代码检测的可信度。通过在4个开源Java应用程序上的实验对RCD与其他3个冗余代码检测工具进行了比较。实验结果表明,RCD在检测冗余代码的准确性方面相比其他工具提高了1%～30%,同时在检测冗余虚方法的完整性方面提升了4%左右。     

结合静态分析与动态符号执行的软件漏洞检测方法

动态符号执行是近年来新兴的一种软件漏洞检测方法,它可以为目标程序的不同执行路径自动生成测试用例,从而获得较高的测试代码覆盖率。然而,程序的执行路径很多,且大部分路径都是漏洞无关的,通常那些包含危险函数调用的路径更有可能通向漏洞。提出一种基于静态分析的有导动态符号执行方法,并实现了一个工具原型SAGDSE。该方法通过静态分析识别目标程序中调用危险函数的指令地址,在动态符号执行过程中遇到这些指令地址时收集危险路径约束,再通过约束求解生成走危险路径的测试用例,这些测试用例将更可能触发程序漏洞。实验结果表明了该方法的有效性。     

基于动静特征加权的木马检测系统

传统木马检测方法的漏报率较高。为此,结合木马的动态特征与静态特征,设计并实现一个基于动静特征加权的木马检测系统。研究木马工作机制,建立自定义的木马特征库,介绍木马检测思路和系统工作逻辑,分析木马特征的提取过程,并给出权值分配方法。实验结果表明,该系统的检测准确率较高。     

基于功能代码片段的Java后门检测方法

随着软件供应链污染的兴起,Java开源组件的安全性正面临着越来越严峻的挑战,近年来也出现了若干起因Java开源组件被植入后门而导致大规模的软件污染的安全事件。为了更好地检测Java开源组件和Java程序的安全性,本文在大量分析Java后门样本的基础上,构建了Java后门的检测模型作为理论基础;在统计分析实际后门常用Java API的基础上,归纳了一系列适用于检测Java后门的规则;提出了基于功能代码片段的后门分析方法,并且结合自底向上的数据流分析方法,实现了首款面向Java源码的后门检测系统JCAT（Java Code Analysis Tool）。以阿里供应链大赛提供的119个样本验证JCAT的检测能力,取得了准确率90.22%的良好效果,并将漏报率和误报率分别控制在较低水平。     

基于动态模拟的多态Shellcode检测系统

通过分析多态Shellcode的行为特征,提出基于动态模拟的判决准则。以此准则为核心,针对现有方法的性能和应用性较差的问题,设计并实现了一个基于动态模拟的多态Shellcode检测系统,其模块采用多种优化技术以提高系统性能。使用3.3 GB实际网络数据和 11 000个多态Shellcode样本对原型系统进行实验,其虚警和漏警率均为0,提高了系统的吞吐量。     

基于堆栈的Windows Shellcode编写方法研究

为更好地理解与防范缓冲区溢出攻击,对Windows平台下Shellcode的编写、提取技术及验证方法进行了研究.从概念出发,理清了Shellcode与Exploit的区别,分析了Shellcode的工作原理,介绍了利用Shellcode所需的3个步骤.在实验的基础上,总结了Shellcode的编写方法及提取技术,最后给出了验证Shellcode有效性的方法.     

一种基于静态和动态特征的步态识别新方法

最近,利用步态对个人身份进行识别受到越来越多生物识别技术研究者的重视。步态能量图(Gait EnergyImage,GEI)是一种有效的步态表征方法。把步态能量图分解为身体相关能量图(Body-Related GEI,BGEI)、步态相关能量图(Gait-Related GEI,GGEI)、身体步态相关能量图(Body-Gait-Related GEI,BGGEI)3部分,利用傅立叶描绘子对身体相关能量图(BGEI)、身体步态相关能量图(BGGEI)进行描述,利用Gabor小波提取步态相关能量图(GGEI)的幅值特征,分别研究了它们的识别能力,并在Rank层和Score层融合步态相关能量图(GGEI)、身体步态相关能量图(BGGEI)这两部分信息用于步态识别。该算法在CASIA数据库上进行的试验取得了较高的正确识别率。     

一种基于动态插桩的JavaScript反事实执行方法

目前,静态分析技术已被广泛用于JavaScript程序的安全性分析。但是由于JavaScript支持通过eval等方法在运行时动态生成代码,仅靠静态分析难以取得动态生成代码。一种可行的解决方法是通过动态运行目标程序取得动态生成代码,再对其进行静态分析。然而,动态运行目标程序只能覆盖有限的执行路径,会遗漏其他执行路径中的动态生成代码。针对这一问题,基于动态插桩实现了一个反事实执行方法。该方法通过修改JavaScript引擎,在其语法解析阶段动态插入反事实执行体,使条件不成立的分支路径和当前执行路径均能够得到执行。通过该插桩方式,即使嵌套调用eval等方法,也能在其动态生成代码中完成插桩。同时,还实现了一种按需undo方法,以消除反事实执行体中赋值操作带来的影响,且能够避免冗余操作。实验结果表明,实现的方法能够有效地扩大动态分析中执行路径的覆盖面。     

基于静态分析和动态检测的xss漏洞发现

Web应用程序数量多、应用广泛,然而它们却存在各种能被利用的安全漏洞,这当中跨站脚本(XSS)的比例 是最大的。因此为了更好地检测Web应用中的XSS漏洞,提出了一种结合污染传播模型的代码静态分析及净化单元 动态检测的方法,其中包括XSS漏洞所对应的源规则、净化规则和接收规则的定义及净化单元动态检测算法的描述。 分析表明,该方法能有效地发现W cb应用中的XSS漏洞。     

通用代码Shell化技术研究

代码Shell化技术是一种实现程序从源码形态到二进制形态的程序变换技术.该技术可用于实现Shellcode生成,生成包括漏洞利用过程中的Shellcode及后渗透测试过程中的功能性Shellcode.文中形式化地描述了程序中代码与数据的关系,提出了一种基于LLVM(Low Level Virtual Machine)的...     

探析医疗设备管理中的动静态管理

为了加强医疗设备的管理,通过对质量控制、安全管理和技术保障中动静态信息的分析,来加强对设备的动静态管理,提高设备的使用率与完好率,更好的服务临床。     

静动态结合的恶意Android应用自动检测技术

随着移动互联网的快速发展,移动终端及移动应用在人们日常生活中越来越重要,与此同时,恶意移动应用给网络和信息安全带来了严峻的挑战。Android平台由于其开放性和应用市场审查机制不够完善,使其成为了移动互联网时代恶意应用的主要传播平台。现有的恶意应用检测方法主要有静态分析和动态测试两种。一般而言,静态分析方法代码覆盖率高、时间开销小,但存在误报率较高的问题;而动态测试准确度较高,但需要实际运行应用,所需的时间和计算资源开销较大。针对上述情况,本文基于静动态结合的方法,自动检测恶意Android应用。首先,使用静态分析技术获取应用API的调用情况来判定其是否为疑似恶意应用,特别是可有效检测试图通过反射机制调用API躲避静态分析的恶意应用;然后,根据疑似恶意应用UI控件的可疑度进行有针对性的动态测试,来自动确认疑似恶意应用中是否存在恶意行为。基于此方法,我们实现了原型检测工具框架,并针对吸费短信类恶意行为,对由465个恶意应用和1085个正常应用组成的数据集进行了对比实验。实验结果表明,该方法在提高恶意应用检测效率的同时,有效地降低了误报率。     

ASP动态网页与静态网页比较研究

通过笔者多年的教学与实践,在网页程序设计中．可用ASP技术来实现B／S系统,ASP技术与数据库技术结合,用户在浏览器端可以随意查询自己需要的文本,而数据的后台操作则由服务器端处理。这样提高了网页的互动性,使整个系统能更好的为用户服务。     

基于DFX数据交换机制的ADO静态绑定技术

基于DFX数据交换机制的DAO静态绑定技术，可以大大降低程序员的人工编码量，提高数据库的访问效率。ADO作为一种通用数据访问对象模型，近年来已成为数据访问的一种趋势。该文结合实际开发经验，详细阐述了在ADO中如何利用DFX数据交换机制实现数据库表中字段到数据成员变量之间的自动静态绑定。