缓冲区溢出攻击:原理,防御及检测

给出了缓冲区溢出的原理，分析了利用缓冲区溢出漏洞进行网络攻击的方法及其特征；从程序编写、程序检测、数据结构设计以及程序执行控制等多个角度对防止缓冲区溢出攻击进行了分析，提出了遏制利用缓冲区溢出漏洞进行攻击的一些方法。     

缓冲区溢出的建模分析

论文介绍了一种检测缓冲区溢出漏洞的建模方法。该方法的关键是对C语言的源代码做静态分析,把缓冲区溢出这个事件作为一个整数区域问题来看待,从而建立缓冲区溢出的数学模型。该模型的一个优点是在代码编译以前可以通过静态分析的方法来发现潜在的缓冲区溢出漏洞。     

一种缓冲区溢出攻击通用模型研究

随着Internet的普及,信息安全问题日趋显著,近年来发生的一系列安全事件让每个连接到Internet的用户感到不安,特别是远程缓冲区溢出攻击更是防不胜防.缓冲区溢出攻击是一种常见的攻击方式,对缓冲区溢出漏洞进行恶意利用,会产生极具破坏性的蠕虫.本文对各种缓冲区溢出漏洞和利用技术进行了深入研究,建立了缓冲区溢出攻击通用模型OSJUMP(Overflow Shellcode Jump),并利用该模型,提出了在模型的各个阶段阻截缓冲区溢出攻击的防范措施.     

一种远程缓冲区溢出漏洞检测模型及系统实现

操作系统和应用软件中的潜在远程缓冲区溢出漏洞是信息系统面临的最严重安全威胁之一.检测软件中游在的远程缓冲区溢出漏洞对于提高信息系统安全性具有重要的意义.本文采用面向二进制代码的动态分析方法,提出了基于错误注入技术的远程缓冲区溢出漏洞检测模型,介绍了系统结构和模块功能,详述了系统中关键技术,给出了系统测试结果.     

缓冲区溢出原理及防护

本文详细分析了缓冲区溢出的原理,描述了网络攻击者利用缓冲区溢出漏洞进行系统攻击的一般过程,最后简单讨论了几种缓冲区溢出的保护方法。     

针对非控制数据的缓冲区溢出保护程序

已有的检测缓冲区溢出漏洞的方法有静态的也有动态的.静态分析在软件运行前,析其源代码,找出可能存在的漏洞;动态方法在运行时对可能存在漏洞的软件行为进行监视,发现异常后,进行判断,然后做出适当处理.在分析了传统缓冲区溢出方法的基础上,依据缓冲区溢出攻击的发展趋势,针对非控制数据的缓冲区溢出攻击,提出了一种主要针对非控制数据缓冲区溢出攻击的测试方法,使用变量标识来测试是否发生了缓冲区溢出攻击.这种方法综合了静态和动态分析的优点,能够有效地防御缓冲区溢出攻击.     

基于状态转换模型的二进制代码缓冲区溢出漏洞检测

根据缓冲区溢出的基本原理,提出一种基于状态转换模型的二进制代码缓冲区溢出漏洞检测方法。该方法以可执行程序为分析目标,从而使漏洞检测过程摆脱对程序源代码的依赖。详细描述该漏洞检测方法的技术细节,并给出该方法与流行的缓冲区溢出漏洞检测方法的对比。     

基于源代码的缓冲区溢出预防技术

基于缓冲区溢出的攻击是一种常见的安全攻击手段,也是目前惟一最重要最常见的安全威胁。在所有的软件安全漏洞中,缓冲区溢出漏洞大约占一半。该文从编程的角度分析了缓冲区溢出攻击,并提出在源代码阶段尽量避免缓冲区溢出的方法。     

剖析缓冲区溢出攻击

本文从程序设计语言的特征、程序编写、数据结构以及程序执行控制等多个角度对缓冲区溢出漏洞攻击的原理进行深入剖析,最后提出了遏制利用缓冲区溢出漏洞进行攻击的一些措施。     

剖析缓冲区溢出攻击

本文从程序设计语言的特征、程序编写、数据结构以及程序执行控制等多个角度对缓冲区溢出漏洞攻击的原理进行深入剖析,最后提出了遏制利用缓冲区溢出漏洞进行攻击的一些措施。     

缓冲区溢出攻击的分析与实时检测

分析了缓冲区溢出的原理和溢出字符串,然后对几种典型的缓冲区溢出实时检测技术进行了阐述,最后提出了一种基于系统调用的缓冲区溢出检测方法。该方法通过劫持系统调用的方式为原有的系统调用函数增加了强制访问控制功能,通过监测非法系统调用的方法来检测和阻止各种获取特权的缓冲区溢出攻击。     

针对ELF文件缓冲区溢出漏洞的检测技术

缓冲区溢出漏洞是一种常见的安全漏洞。文章介绍了缓冲区溢出漏洞的现状,评价了典型的缓冲区溢出漏洞检测技术,提出了一种针对ELF格式文件潜在缓冲区溢出漏洞的检测技术,并在此基础上提出了一个应用实例。     

静态检测缓冲区溢出漏洞

缓冲区溢出漏洞是目前惟一最重要最常见的安全威胁。文中分析了防止缓冲区溢出攻击的运行时方法的不足：介绍了一种静态检测缓冲区溢出漏洞的方法及工具。给源代码添加注解，用注解辅助静态分析，用这种方法能够在软件交付使用前，检测出程序中潜在的安全漏洞。     

A Behavior-based Buffer Overflow Attack Blocker

A common way to gain control of victim hosts is to launch buffer overflow attacks by remote exploits.This paper proposes a behavior-based buffer overflow attacker blocker,which can dynamically detect and prevent remote buffer overflow attacks by filtering out the client requests that contain malicious executable codes.An important advantage of this approach is that it can block the attack before the exploit code begins affecting the target program.The blocker is composed of three major components,packet dec...     

A note on the improved LMI-based criterion for global asymptotic stability of 2-D state-space digital filters described by Roesser model using twoʼs complement overflow arithmetic

This paper focuses on some critical issues in a recently reported approach [V. Singh, Improved LMI-based criterion for global asymptotic stability of 2-D state-space digital filters described by Roesser model using two?s complement overflow arithmetic, Digital Signal Process. 22 (2012) 471–475] for the global asymptotic stability of two-dimensional (2-D) fixed-point state-space digital filters described by the Roesser model employing two?s complement overflow arithmetic. In particular, it is highlighted that the situation where Singh?s approach can be applied to ensure the global asymptotic stability of digital filters in the presence of two?s complement overflow nonlinearities is not conceivable.     

基于目标制导符号执行的静态缓冲区溢出警报自动确认技术

缓冲区溢出漏洞是一类严重的安全性缺陷。目前存在动态测试和静态分析技术来检测缓冲区溢出缺陷:动态测试技术的有效性取决于测试用例的设计,而且往往会引入执行开销;静态分析技术及自动化工具已经被广泛运用于缓冲区溢出缺陷检测中,然而静态分析由于采取了保守的策略,其结果往往包含数量巨大的误报,需要通过进一步人工确认来甄别误报,但人工确认静态分析的结果耗时且容易出错,严重限制了静态分析技术的实用性。符号执行技术使用符号代替实际输入,能系统地探索程序的状态空间并生成高覆盖度的测试用例。本文提出一种基于目标制导符号执行的静态缓冲区溢出警报确认方法,使用静态分析工具的输出结果作为目标,制导符号执行确认警报。我们的方法分为3步:首先在过程间控制流图中检测静态分析警报路径片段的可达性,并将可达的警报路径片段集合映射为用于确认的完整确认路径集合;其次在符号执行中通过修剪与溢出缺陷疑似语句无关的路径,指导符号执行沿特定确认路径执行;最后在溢出缺陷疑似语句收集路径约束并加入溢出条件,通过约束求解的结果,对静态分析的警报进行分类。基于上述方法我们实现了原型工具BOVTool,实验结果表明在实际开源程序上BOVTool能够代替人工减少检查59.9%的缓冲区溢出误报。     

Concurrent detection of additive overflow and arithmetic errors in residue codes

The problems of detecting overflow and single or multiple residue digit errors in Redundant Residue Numeber Systems are considered through an unified approach. It is shown that a single intermodular procedure allows concurrent detection of additive overflow and single residue digit error, even in the case where the error affects a number in overflow. In addition, it is shown that codes of adequate redundancy may allow detection of additive overflow and single bit error, provided that the residue digits are appropriately encoded. The discussion concerns both separate residue codes (i. e., codes being referred to as RRNS, where one or more redundant residues are added) and Product Codes.     

二进制扫描的缓冲区溢出漏洞探测技术

缓冲区溢出漏洞自从出现以来,一直引起许多严重的安全性问题,而且随着软件系统越做越大,越来越复杂,缓冲区溢出漏洞的出现越来越普遍。本文从检测程序的漏洞方面着手,比较了以前常用的静态代码分析和实时错误注入的检测方法,提出了一种对可执行文件反汇编后的代码进行缓冲区溢出漏洞检测的技术,提高了检测软件系统漏洞的效率。     

Linux 缓冲区溢出攻击检测与防范技术

缓冲区溢出攻击已成为黑客进行系统攻击的主要手段之一，简要分析了该攻击的基本原理，提出了使用安全的C函数库和控制内核的系统调用两种检测防范策略，并通过与其它技术的比较评价了其特点。     

A new method for approximating blocking probability in overflow loss networks

In this paper, we present a new approximation for estimating blocking probability in overflow loss networks and systems. Given a system for which an estimate of blocking probability is sought, we first construct a second system to act as a surrogate for the original system. Estimating blocking probability in the second system with Erlang’s fixed point approximation (EFPA) provides a better estimate for blocking probability in the original system than if we were to use the conventional approach of directly using EFPA in the original system. We present a combination of numerical and theoretical results that indicate our new approximation offers a better estimate than EFPA for a certain pure overflow loss network. Moreover, we demonstrate the accuracy of our new approximation for circuit-switched networks using alternative routing. We argue that the success of our new approximation is due to its ability to utilize congestion information imbedded in overflow traffic, whereas the conventional approach fails to utilize such information.