Linux内核提权攻击研究

提权攻击是针对Linux系统的一种重要攻击手段。根据提权攻击所利用的漏洞类型,一般可将其分为应用层提权攻击和内核提权攻击。现有的防御技术已经能够防御基本的应用层提权攻击,但是并不能完全防御内核提权攻击,内核提权攻击仍是Linux系统面临的一个重要威胁。内核提权攻击一般通过利用内核提权漏洞进行攻击。针对内核提权攻击,分析研究了基本的内核提权漏洞利用原理以及权限提升方法,并对典型的内核提权攻击防御技术进行了分析。最后通过实验对SELinux针对内核提权攻击的防御效果进行了分析验证,并针对发现的问题指出了下一步具有可行性的研究方向。     

基于漏洞攻击的Java卡安全性分析

本文从对Java卡进行漏洞分析并尝试对其发起攻击的角度来讨论Java卡的安全性;首先介绍了Java卡的大致系统结构及其一些基本的安全机制原理和其基于Java语言为系统平台所具有的安全属性;阐述了如何收集Java卡上的应用信息和所支持的加密服务,分别讨论Java卡的对象共享机制、类型转换所可能引起的漏洞,描述了针对这些漏洞发起的伪造AID、数据泄漏、非法对象转换的攻击手段,以及通过硬件渠道监测Java卡运行模式和加入包络代码提高监测精确性的做法;最后总结了防止所述攻击可采用的相应做法。     

基于利用方式的Android Root漏洞分析

Android平台恶意软件可以使用获取系统root权限的方式来绕过传统的Android安全机制,并且由于Android碎片化现象的存在,出现了很多利用方式、范围不同的Android root漏洞,因此有必要详细了解这些漏洞的实现机制,以采取相应的安全对策。基于利用方式将Android root漏洞按照是否可以直接在手机端利用的角度对其分类,评估其威胁程度,并详细描述了现有漏洞提权的实现细节、利用方式以及覆盖的范围,从而为进一步制定漏洞检测方案提供帮助。     

基于不确定图的网络漏洞分析方法

网络漏洞分析是提高网络安全性的重要基础之一.以主机为中心的漏洞分析方法可在多项式时间内生成攻击图,但是没有考虑网络链路本身存在的不确定性.提出了一种基于不确定图的网络漏洞分析方法,采用链路不确定度以准确地描述网络链路状态,使得求解最佳利用链成为可能.在此基础上,提出了一种时间复杂度为O(n4)的不确定攻击图生成算法;基于不确定攻击图提出了一种时间复杂度为O(n3)的最佳利用链生成启发式算法.实验结果表明,该方法能在可接受的时间内生成不确定攻击图,找到一条攻击效益最佳的漏洞利用链.     

基于漏洞关联攻击代价的攻击图生成算法

在已有的网络攻击图生成方法的基础上,从漏洞关联的攻击代价出发,设计了一种攻击图生成基本框架,提出了一种基于漏洞关联攻击代价的网络攻击图的自动生成算法。该算法能有效结合漏洞之间的相关性,科学地评估攻击代价,有效删除了攻击代价过高、现实意义不大的攻击路径,简化了攻击图,并通过实验检验了该算法的合理性和有效性。     

基于关联分析的网络漏洞攻击智能检测方法

由于传统方法在网络漏洞攻击智能检测应用中延迟时间较长,为此提出基于关联分析的网络漏洞攻击智能检测方法。通过在网络中安插扫描插件,全面扫描网络端口、数据库、操作系统、Web、安全基线、弱口令以及工控系统,并获取数据。利用异常数据传播规则提取异常数据,并利用关联分析技术分析异常数据,进而识别网络漏洞攻击。实验证明,该设计方法延迟时间短于传统方法,在网络漏洞攻击智能检测方面具有较好的应用前景。     

基于节点博弈漏洞攻击图的网络风险分析方法

鉴于当前的漏洞风险分析方法未考虑攻防双方的相互制约关系,尝试将博弈论引入漏洞攻击图的节点分析过程,提出了基于节点博弈漏洞攻击图的风险分析模型RAMVAG。在此基础上,提出一种基于连通矩阵的漏洞风险分析算法VRAA。算法建立了攻击图的连通矩阵,在分析信息系统漏洞的自身风险和传播风险的基础上,对漏洞全局风险进行综合评价,评价结果能够帮助管理者确定网络系统的关键漏洞。实例分析证明了模型和算法的有效性。     

Diskaller:基于覆盖率制导的操作系统内核漏洞并行挖掘模型

内核是操作系统的核心,它构建了操作系统各类程序运行时需要的基础环境：如进程调度、存储管理、文件系统、设备驱动和网络通信等。操作系统内核漏洞的存在可能使得计算机系统遭受拒绝服务、信息泄露、超级用户权限提升等攻击,因此,针对内核的漏洞挖掘一直是网络安全领域的研究热点。本文在现有的研究基础上,提出一种基于覆盖率制导的内核漏洞并行模糊测试模型,该模型以代码覆盖率为导向,以计算节点和控制节点组成的星型结构作为并行模型,各计算节点通过代码覆盖率对系统内核持续测试,控制节点完成计算节点间代码覆盖率的收集与交互,突破了传统测试模型对计算资源要求限制和数据竞争的瓶颈,极大的提升了代码覆盖率及测试速度,加快了漏洞挖掘的效率。为了验证模型的实用性及有效性,利用Diskaller与Syzkaller和Triforce进行对比,一定条件下Diskaller覆盖率较Syzkaller提升12.8%,执行速率提升229%,较Triforce覆盖率提升335%,执行速率提升450%,并且发现了Linux内核中两个先前未被发现的漏洞。     

缓冲区溢出漏洞攻击的分析研究

缓冲区溢出漏洞是当前互联网中存在的最主要的威胁之一.本文针对Linux系统存在的缓冲区溢出漏洞,讨论了缓冲区溢出漏洞的产生原理和一般的攻击手段,介绍了不同的防御手段并比较了其优缺点.     

基于安卓系统的手机恶意软件提权漏洞研究

研究基于安卓系统的手机恶意软件提权漏洞发现和防护,通过分析安卓系统常见的可利用漏洞类型,并结合案例剖析了利用漏洞实施恶意行为的恶意软件,提出了手机用户的防护应对措施.     

基于Windows的CSRSS进程漏洞分析与利用

随着技术的进步,Windows 操作系统日益完善,多种内存保护技术的结合使得传统的基于缓冲区溢出攻击越来越困难。在这种情况下,内核漏洞往往可以作为突破安全防线的切入点,一旦漏洞被病毒、木马利用,将会彻底瓦解安全软件的所有防御,沉重打击系统安全。随着 Windows NT 的开发,操作系统被设计成可以支持多个子系统,包括 POSIX、OS/2以及Windows 子系统（也被称为客户端/服务器运行时子系统或者 CSRSS）。文章展开了一系列关于 CSRSS 的研究,描述了 CSRSS 内部机制。尽管一些研究已经在少数文章中有所提及,但是直到现在没有深入的案例研究。文章详细地介绍了 CSRSS 及其通信机制,以及最近常见于现代操作系统的 CSRSS 变化。另外,站在安全的角度,文章对 Windows 内核漏洞进行了分类,并且提出了一套漏洞研究的流程。按照这套流程,研究了 CSRSS 进程的权限提升漏洞和拒绝服务漏洞。文章通过对 CVE-2011-1281漏洞的分析,发现 use-after-free 漏洞不仅出现在浏览器漏洞中,在系统软件中同样有可能出现。     

基于安卓系统的手机恶意软件提权漏洞研究

随着互联网技术的发展,手机在人们日常生活中扮演着越来越重要的角色,安卓系统手机软件也越来越多,但手机应用软件漏洞也越来越严重。部分不法分子利用软件漏洞从事非法行为,对用户造成了较大影响。笔者主要研究了基于安卓系统的手机恶意软件提权漏洞发现和防护,通过分析安卓系统常见的可利用漏洞类型,分析安卓系统手机软件提权漏洞,提出了手机用户的防护应对措施。     

缓冲区溢出漏洞分析技术研究进展

本文首先介绍了缓冲区溢出漏洞危害的严重性和广泛性,然后从如何利用缓冲区溢出漏洞的角度,依次介绍了缓冲区溢出漏洞的定义、操作系统内存组织方式以及缓冲区溢出攻击方式.本文将缓冲区溢出分析技术分为三类：自动检测、自动修复、以及运行时防护,并对每一类技术进行了介绍、分析和讨论.最后,对相关工作进行了总结,并讨论了缓冲区溢出分析领域未来可能的三个研究方向：（1）对二进制代码进行分析.（2）结合机器学习算法进行分析.（3）综合利用多种技术进行分析.     

漏洞主动分析及预测攻击的新模型

网络安全漏洞从暴露的方式来看,存在隐性和显性两类。利用国内外现有的网络安全漏洞扫描器或安全检测产品,可以发现显性网络安全漏洞,但不能发现隐性的网络安全漏洞。本文提出漏洞主动分析及预测机制,并根据计算机网络可用资源的有限性和攻击手段不断增加的特殊性,建立“套桶模型”。这个模型将复杂的攻击分析简单化,采用可绕轴转的坐标系来表示攻击响应的情况,为网络安全漏洞检测的自动化、智能化提供了一种新的思路。     

基于代码覆盖的浏览器漏洞利用攻击检测方法

根据漏洞利用攻击的概念验证,使用WinDbg逆向工程找出该类攻击的特征,并根据该特征编写检测代码。而后将检测代码封装至DLL中,并通过远程线程方式将DLL注入网页浏览器。被注入的DLL会以代码覆盖的方法拦截浏览器的API,使浏览器跳转到检测代码。根据浏览器打开网址时检测代码的返回值,来判断该网址是否包含利用该漏洞进行攻击的网页木马。通过将该技术部署于众多虚拟机中,批量检测网页,来向杀毒软件公司以及搜索引擎等提供高可信度的挂马网页黑名单。     

基于CmailServer漏洞的几种漏洞发现技术

介绍了目前已有的几种漏洞发现技术，分析比较了各自的优缺点及适用环境。最后以Cmail Senrer4．0为对象说明了综合运用多种漏洞发现技术检测漏洞的过程，并指出其中较好的方法。     

基于程序分析的自动化漏洞挖掘工具的研究

研究和设计了一个基于程序分析的源代码漏洞分析与检测工具框架,框架中的各个模块如控制流分析(控制流图的构建、函数调用图的实现及过程内分析与过程间分析等)、数据流分析(求定义引用链、污染数据传播的设计、指针别名分析)、结构分析器、安全调度器、规则构建器,本文主要对代码分析的两个阶段进行了较为详细的介绍,同时对主要采取的过程内和过程间分析算法做了说明。     

模拟攻击测试方式的漏洞检测系统的设计与实现

扫描方式的漏洞检测工具往往因为无法得到目标系统的准确信息而无法准确判断目标系统的安全状况,而模拟攻击测试方法可以准确判断目标系统是否存在测试的漏洞。大部分新漏洞发布的同时也会发布相应的测试程序,但是测试程序参数的复杂多样造成了集成的困难,把参数分为DR(运行时决定的类型)、DL(运行时查表决定的类型)和DV(默认值参数)三种类型,利用XML在数据结构描述方面的灵活性解决了这个问题。介绍了一个利用XML描述测试程序接口参数的模拟攻击测试方式的漏洞检测系统。     

面向Linux的内核级代码复用攻击检测技术

近年来,代码复用攻击与防御成为安全领域研究的热点.内核级代码复用攻击使用内核自身代码绕过传统的防御机制.现有的代码复用攻击检测与防御方法多面向应用层代码复用攻击,忽略了内核级代码复用攻击.为有效检测内核级代码复用攻击,提出了一种基于细粒度控制流完整性（CFI）的检测方法.首先根据代码复用攻击原理和正常程序控制流构建CFI约束规则,然后提出了基于状态机和CFI约束规则的检测模型.在此基础上,基于编译器辅助实现CFI标签指令插桩,并在Hypervisor中实现CFI约束规则验证,提高了检测方法的安全性.实验结果表明该方法能够有效检测内核级代码复用攻击,并且性能开销不超过60%.     

基于标志位差异分析的整数溢出漏洞溢出点定位方法

近几年,整数溢出漏洞数量居高不下,危害性较大。目前,漏洞分析定位的方法仅在补丁自动生成或漏洞触发样本文件自动生成中有所涉及,且这些方法大多利用缓冲区溢出会覆盖其邻接内存数据的特点来进行定位分析,而整数溢出漏洞不具有直接覆盖重要数据的特点,所以现有的方法不能对其进行有效的定位分析。现阶段对整数溢出漏洞的分析大多依靠人工完成,效率较低。为了提高分析人员的工作效率,提出了一种结合动态污点分析技术进行EFLAGS标志位信息比对的方法,来将溢出点锁定在少量的地址中。在此基础上实现了一套整数溢出漏洞溢出点定位系统,并对提出的方法进行了验证。