基于符号执行技术的网络程序漏洞检测系统

网络程序由运行在不同物理节点上的服务器端和客户端组成。与普通二进制程序不同,网络程序在运行过程中,其服务器端和客户端会进行实时的通信和数据传输,二者之间的交互过程会对彼此的程序运行产生影响,因此,仅对服务器端程序进行分析常会导致漏洞的漏报或误报。首先以对网络程序进行自动化漏洞检测为目标,基于软件虚拟机的动态二进制翻译机制和选择性符号执行技术,对符号化数据的引入、符号执行过程中程序双端的状态同步技术进行了研究。然后通过重点函数挂钩的方式监控程序执行过程,确定了双端状态同步的判定模型,构建了一个自动化的网络程序漏洞检测系统。通过实验验证了该系统在实际网络程序漏洞发现过程中的有效性,并针对商业软件中存在的CVE漏洞进行了测试性检测,进一步证明了该系统的可推广性。     

基于混合分析的二进制程序控制流图构建方法

构建控制流图（CFG）是二进制程序分析的基础工作,针对静态构建方法无法处理间接跳转,动态构建方法效率低、不适用于大规模程序的问题,提出结合静态分析和动态分析的混合分析方法. 使用静态分析获得基础的控制流信息;采用模糊测试生成测试用例以进行动态分析,利用动态插桩获得间接跳转信息;融合静态分析和动态分析结果生成控制流图. 基于该混合分析方法,设计并实现了面向x86平台二进制程序的控制流图构建工具CFGConstructor. 分别在示例程序和CGC数据集上进行实验,评估该工具的有效性和性能. 实验结果表明CFGConstructor相比于静态分析能够构建更加完备的控制流图,相比于动态分析分析效率更高,能够适用于大规模程序.     

动静结合的网络恶意代码检测技术研究*

针对互联网服务器的攻击行为常利用程序存在的未知漏洞展开,且手法不断更新,这使得防御技术的更新往往长时间滞后于攻击行为的发生。本文提出了一种动静结合的网络数据检测方法,该方法在传统静态分析的基础上优化了检测算法,同时引入了动态模拟运行的检测方式。通过动静结合的双重检测提高了恶意代码的识别率,并能够在代码传入实际被保护程序运行前检测确定其恶意性,实现防御系统策略的快速自动化更新,缩短了策略更新时间,提高了防御效果。本文结合该技术实现了一个N-A Detecting(网络数据检测)防御系统,试验证明,该系统能够很好的防范针对网络程序的恶意代码攻击行为。     

格式化字符串漏洞自动检测与测试用例生成*

格式化字符串漏洞是一种危害高、影响广的软件漏洞。当前漏洞检测方式存在人工依赖度高,误报率高,检测模型单一,未能充分考虑格式化字符串漏洞特点等多种局限性。针对以上问题,本文对格式化字符串漏洞特征进行分析,设计并实现了一种基于符号执行的格式化字符串漏洞自动检测与测试用例生成的系统。该方法可自动检测linux下二进制程序中格式化字符串漏洞的存在性,判定其是否可能导致任意内存读写危害,并生成稳定有效的测试用例。