基于硬件架构和虚拟化扩展机制的虚拟机自省机制研究

针对现有虚拟机自省技术利用不可信被监控操作系统的内核数据结构在内存中的期望布局及内核函数构建被监控系统语义、无法抵抗直接内核数据结构操纵攻击的问题,对虚拟机自省机制的能力进行全面分析,并对利用虚拟机自省机制可应对的恶意攻击进行分类,提出更具健壮性的基于硬件体系架构和虚拟化扩展机制的虚拟机自省技术,通过硬件体系结构提供的虚拟机自省特性被动地观察与收集被监控系统信息,并利用虚拟硬件扩展机制主动地截获客户虚拟机内部的事件和指令,达到主动监控的目的.描述了基于硬件的虚拟机自省机制在系统调用序列收集与监控上的应用,并进行了效率测试分析.     

基于虚拟机的程序运行时监控方法

为实现在系统层面对程序运行时行为的监控,本文设计了基于虚拟机的程序运行时动态监控框架。利用事件驱动机制,借助虚拟机翻译程序的原理,选取特定事件作为被关注事件进行注册,从虚拟环境中提取CPU状态进行分析,从而获得相关程序动态运行信息。以基于控制流的可疑程序分析作为应用实例,描述了具体实现过程。测试结果表明,该框架能够在系统层进行有效的行为监控,方便获取操作系统内核状态和进程的信息,为程序的动态行为分析提供了有利的支持。     

DBT中基于译码制导的指令动态翻译优化技术研究

基于译码制导的指令动态翻译优化技术在译码阶段对源指令信息进行识别,对标志位处理、寄存器分配和异常检测等方面优化,制导翻译阶段动态地生成优化后的目标二进制码,提高动态二进制翻译系统效率.文章对基于译码制导的指令动态翻译优化技术进行分析并实现,并得到此优化技术能够提供的性能提升.     

一种抗语义攻击的虚拟化软件保护方法

随着计算机和网络的发展,软件核心算法面临着被逆向的威胁越来越大。虚拟机软件保护方法作为一种新型的软件保护方法,利用虚拟化技术保护软件的核心算法。因虚拟指令很难被理解,故其保护强度较高。但是,该方法仍无法抵御基于语义的攻击方法对虚拟机保护后的软件攻击,由此给软件安全带来了严重的威胁。针对现有的各类虚拟机软件保护方法无法应对目前恶意攻击者基于语义攻击的问题,提出了一种抗语义攻击的虚拟机软件保护方法即DAS-VMP。该方法分析了基于语义攻击的关键技术,依此研究出抵抗语义攻击的方法。从程序内部的数据流和执行流出发,通过设计数据流混淆引擎对虚拟机中虚拟解释器（Handlers）进行数据流混淆,使程序内部的数据流结构变得复杂多样,从而攻击者无法进行数据流的分析。隐藏虚拟机中的谓词信息,以抵抗攻击者的符号执行技术,同时将单一进程虚拟机设计为双进程虚拟机,控制软件运行过程中的执行流,使软件的执行过程更加难以被追踪,最终使经过保护后的软件呈现出一种复杂的数据流和执行流,从而阻止攻击者通过基于语义的攻击方法进行逆向分析。理论分析表明,DAS-VMP能够有效抵抗基于语义的攻击,与两款商业虚拟机保护系统的比较表明DAS-VMP对系统的性能开销较小。     

数据中心环境下能耗性能感知的优化方法

针对云计算环境下数据中心高能耗问题,提出了一种能耗性能感知的虚拟机动态整合方法,以优化能耗性能. 首先通过局部回归分析判定主机是否过载,利用均值法检测主机是否轻载,然后根据虚拟机最小迁移时间、最大和最小CPU利用率策略选择要迁移的虚拟机加入到迁移队列,最后运用能耗性能感知的虚拟机部署优化算法对虚拟机进行优化部署. 仿真结果显示,该算法不但提高了系统性能,而且也降低了系统能耗.     

数据中心环境下能耗性能感知的优化方法

针对云计算环境下数据中心高能耗问题,提出了一种能耗性能感知的虚拟机动态整合方法,以优化能耗性能.首先通过局部回归分析判定主机是否过载,利用均值法检测主机是否轻载,然后根据虚拟机最小迁移时间、最大和最小CPU利用率策略选择要迁移的虚拟机加入到迁移队列,最后运用能耗性能感知的虚拟机部署优化算法对虚拟机进行优化部署.仿真结果显示,该算法不但提高了系统性能,而且也降低了系统能耗.     

基于强化学习的云计算资源调度策略研究

提出了一种基于强化学习的云计算虚拟机资源调度问题的解决方案和策略。构建了虚拟机的动态负载调度模型,将虚拟机资源调度问题描述为马尔可夫决策过程。根据虚拟机系统调度模型构建状态空间和虚拟机数量增减空间,并设计了动作的奖励函数。采用Q值强化学习机制,实现了虚拟机资源调度策略。在云平台的虚拟机模型中,对按需增减虚拟机数量和虚拟机动态迁移两种场景下的学习调度策略进行了仿真,验证了该方法的有效性。     

云数据中心虚拟机管理研究综述

云中心的虚拟资源管理是云计算提供者提供快速有效服务的重要保障,虚拟机管理是云中心资源管理的主要研究方向之一。该文首先对云中心虚拟资源相关研究现状进行深入调查和分析;讨论了云数据中心虚拟机放置调度方法(预留分配、即需分配、现货分配);综述了虚拟机动态在线迁移技术、服务器整合技术。最后指出云中心虚拟机管理的未来重要研究方向:分布式的虚拟机放置算法、虚拟机网络的拓扑结构、虚拟机资源使用模式探索和热能相关的动态虚拟机整合策略,以便为云数据中心虚拟机管理及研究提供有益的参考。     

IaaS环境下虚拟机运行时VIF策略动态加载机制

针对采用VEB（Virtual Ethernet Bridge）模式的IaaS（Infrastructure as a Service）虚拟网络架构面临的虚拟机网络策略有效性问题,研究了保障虚拟机全生命周期网络策略有效性的策略动态加载机制。通过解耦合虚拟机网络策略于虚拟机默认配置文件、分析影响虚拟机网络策略有效性的因素并定义虚拟机网络策略加载要素,提出了虚拟机运行时VIF（Virtual network Interface）网络策略动态加载机制,以虚拟机状态变化过程为依据选取合适时间点加载网络策略至正确位置。实验结果表明,该机制可以在毫秒级耗时内完成虚拟机网络策略加载,保障虚拟机在全生命周期中不出现策略空白;同时,基于虚拟机网络策略的独立性,该机制可按需扩展网络策略并支持虚拟机运行时策略动态变更。     

基于改进虚拟机整合算法的虚拟资源管理工具

提出了一种基于分段迭代相关性整合(SICC)的虚拟机整合与放置策略,并将它作为云资源管理工具的核心结构。SICC算法整合了时间序列分析、线性相关性分析和传统的FFD算法,并基于虚拟机的最小资源利用率建立了一套新的虚拟机动态资源整合理论。数值仿真结果表明,在虚拟机整合过程中,新的基于SICC的架构在使用不同的初始动态条件时,以虚拟机为粒度的物理资源利用率性能提升3%~20%;在以服务器为粒度的物理资源利用率性能提升超过5%。     

栈缓冲区溢出攻击的研究与实现

为了有效地防御栈溢出攻击,应用反汇编工具IDA Pro和动态调试工具OllyDBG分析两种栈溢出攻击的原理,并依据分析的原理给出两种栈溢出攻击的模拟实验。结果表明,原理分析正确,有利于有效防御目前栈溢出攻击方法,有利于指导软件编程人员编出更稳定更安全的代码。     

基于门限的连续媒体流动态播放算法及其参数研究

从端系统的观点解决视频媒体的同步连续播放,提出了一种动态的媒体播放算法. 该方法在接收端设置缓冲区,根据缓冲区的占用情况动态地调整媒体的播放速率. 根据媒体内同步的要求,给出动态播放速率的选取方法. 另外,通过分析所建立的排队模型,给出了缓冲区门限的选取原则. 选择合适的参数,该算法可以有效地防止缓冲区下溢造成的播放停顿以及缓冲区上溢造成的播放跳跃,从而实现同步平滑播放.     

Method of Preventing Buffer Overflow Attacks by Intercepting DLL Functions

The way of intercepting Windows DLL functions against buffer overflow attacks is evaluated. It＇s produced at the expense of hooking vulnerable DLL functions by addition of check code. If the return address in the stack belongs to a heap or stack page, the call is from illicit code and the program is terminated. The signature of malicious code is recorded, so it is possible for the next attack to be filtered out. The return-into-libc attacks are detected by comparing the entry address of DLL functions with the overwritten return address in the stack. The presented method interrupts the execution of malicious code and prevents the system from being hijacked when these intercepted DLL functions are invoked in the context of buffer overflow.     

Admission control with long-range dependence traffic input

The admission control scheme is investigated for a FIFO self-similar queuing system with Quality of Service （QoS） performance guarantees. Since the self-similar queuing system performance analysis is often carried out under the condition of infinite buffer, it is difficult to deduce the upper boundary, of buffer overflow probability. To overcome this shortcoming, a simple overflow condition is proposed, which defines a buffer overflow occurrence whenever the arrival rate exceeds the service rate. The analytic formula for the buffer overflow probability upper boundary, is easily obtained under this condition. The required bandwidth upper boundary with long-range dependence input and determined overflow probability is then derived from this formula. Based on the above analytic formulas, the upper boundaries of the admission control regions for homogeneous and heterogeneous long-range dependence traffic sources are separately obtained. Finally, an effective admission control scheme for long-range dependence input is proposed. Simulation studies with real traffic have confirmed the validity of these results.     

基于动态符号执行的C代码缓冲区溢出检测

缓冲区溢出是C程序中众多安全隐患的根源之一,以C程序代码为目标对象,提出了一个基于底层虚拟机中间代码的缓冲区溢出检测工具PathChecker.该工具基于动态符号执行方法,使用无量词谓词公式刻画缓冲区操作的安全性质,并利用可满足模型理论求解器技术检验缓冲区操作的安全性.实验结果表明,该工具能有效检测C代码中的缓冲区溢出漏洞,且易于推广至其他高级程序语言代码和其他类型安全漏洞的检测.     

缓冲区溢出攻击及其防范

缓冲区溢出是最常见的一种安全漏洞类型。这种漏洞可使一个匿名的Internet用户有机会获得一台主机部分或全部的控制权。若能有效地消除缓冲区溢出的漏洞，网络安全威胁可得到较好的缓解；研究了各种类型的缓冲区溢出漏洞和攻击手段，以及有效防御黑客利用缓冲区溢出漏洞进行攻击的方法。     

基于代码执行模拟的远程缓冲区攻击检测方法

分析了缓冲区溢出攻击的原理和方法,提出了一种新的通用网络缓冲区溢出的检测方法,此检测方法通过代码执行模拟计算网络报文中含有的可执行代码序列的最大长度来进行缓冲区溢出的网络检测.实验证明,该检测方法不仅能快速有效地检测传统的远程缓冲区溢出的攻击,而且还可以检测变形的shellcode.     

RPC接口中的缓冲区溢出攻击探讨

缓冲区溢出攻击是各种网络攻击方法中较普遍且危害较严重的一种，从缓冲区溢出攻击的基本原理出发，对缓冲区溢出的主要攻击机制、攻击过程，作了概要介绍与总结，介绍了几种常见的溢出漏洞以及其在RPC接口中的表现，提出了RPC接口的缓冲区溢出漏洞解决方法．     

缓冲区溢出攻击与防范

随着计算机和网络技术的发展,计算机和网络的安全正受到日益严重的威胁。各种攻击手段不断出现,造成计算机和网络不能正常运行、数据受到破坏和窃取等。缓冲区溢出攻击是对计算机和网络进行攻击的常见方法之一。它是利用向一个有限的缓冲区中拷贝过长的字符串,导致缓冲区相邻存储单元被覆盖,从而使程序运行失败或跳转到攻击者设计的攻击代码处执行攻击代码。这样攻击者就有机会获取计算机或网络服务器的控制权。介绍了代码植入、参数传递、利用活动记录和函数指针及长跳转缓冲区等攻击方法。同时,介绍了缓冲区溢出攻击的防范措施。     

金属切削原理及刀具MCAI系统的研制

简述了多媒体辅助教学 (MCAI)的基本结构和基本模式 .在此基础上 ,对金属切削原理及刀具MCAI系统的研制技术进行了讨论 ,阐述了课件设计的必要性 ,重点研究了课件的制作思路、设计流程、素材的采集和处理、程序的编制以及用Authorware等软件进行课件设计的基本方法 .试用证明 ,该课件与传统的课堂教学相比 ,在传递信息的质和量方面都得到了很大的提高 .