[發明專利]基于漏洞特征的動態執行補丁方法

無效

• 申請號: 200710049754.6
• 申請日: 2007-08-14
• 公開（公告）號: CN101154257A
• 公開（公告）日: 2008-04-02
• 發明（設計）人: 曹躍;李毅超;余盛季;覃麗芳;何子昂
• 申請（專利權）人: 電子科技大學
• 主分類號: G06F21/22
• 分類號: G06F21/22
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.基于漏洞特征的動態執行補丁方法，其特征在于包括如下組成部件：

惡意攻擊檢測部件：采用基于數據流分析的惡意攻擊檢測方法，包括數據標記模塊，數據追蹤模塊和誤用檢測模塊。數據標記模塊記錄所有外來的輸入為感染數據，數據追蹤模塊標記對感染數據進行操作的數據移動指令和數據算術指令，誤用檢測模塊判斷被感染數據的使用是否違反安全規則與配置，最后收集并分析與安全漏洞相關的信息。

執行補丁生成部件：基于數據流分析得到的信息，提取出針對安全漏洞的感染數據傳播指令和感染數據誤用指令。感染數據傳播指令記錄從攻擊源開始對惡意攻擊數據的所有操作行為，而感染數據誤用指令則記錄了針對使用感染數據所觸發的違反安全規則的指令。

虛擬執行監控部件：采用基于代碼切片的虛擬執行方法，包括反匯編模塊，基本塊生成模塊，基本塊緩存模塊，基本塊預處理模塊，虛擬執行模塊和執行監控模塊。反匯編模塊獲取二進制代碼流的匯編指令，虛擬執行模塊執行生成的基本塊代碼，執行監控模塊監視與安全漏洞執行補丁相關的運行指令和內存訪問情況，并采取相應的防護措施。

2.根據權利要求1所述的基于漏洞特征的動態執行補丁方法，其特征在于：所述惡意攻擊檢測部件的結構組成包括：數據標記模塊，數據追蹤模塊和誤用檢測模塊。當有外部輸入數據時，數據標記模塊記錄所有外來的輸入為感染數據，并生成感染數據結構。由數據追蹤模塊標記傳播的被感染數據，其中包括對感染數據進行操作的數據移動指令和數據算術指令。誤用檢測模塊判斷被感染數據的使用是否違反安全規則與配置，最后收集并分析與安全漏洞相關的信息。

3.根據權利要求1所述的基于漏洞特征的動態執行補丁方法，其特征在于：所述執行補丁生成部件的內容組成包括：感染數據傳播指令和感染數據誤用指令。利用惡意攻擊檢測部件得到的安全漏洞執行路徑信息，反向從安全漏洞觸發點回溯到攻擊的來源。執行補丁中就包含了兩類指令：感染數據傳播指令和感染數據誤用指令。將執行補丁中的所有指令轉換為內存空間地址，將得到在執行過程中需要監視的動態內存位置。生成的執行補丁將發送到虛擬執行監控部件，作為發現并修改該安全漏洞的規則。

4.根據權利要求1所述的基于漏洞特征的動態執行補丁方法，其特征在于：所述虛擬執行監控部件的結構組成包括：反匯編模塊，基本塊生成模塊，基本塊緩存模塊，基本塊預處理模塊，虛擬執行模塊和執行監控模塊。虛擬執行監控部件獲取目標二進制程序的代碼流，由反匯編模塊生成對應的匯編代碼，逐條分析得到的匯編指令。當遇到控制轉移指令，或基本塊的累計指令數目超出用戶定義的范圍時，設置為該基本塊的結束。反匯編模塊用于動態構建與目標代碼流相一致的虛擬執行基本塊。針對反匯編模塊生成的不包含控制轉移指令的基本塊，為提高運行效率進行相應的執行預處理，并將基本塊存放于內部的執行緩存內，最終虛擬執行基本塊中的每條指令。執行監控模塊監視與安全漏洞執行補丁相關的運行指令和內存訪問情況，包括感染數據傳播指令和感染數據誤用指令，并采取相應的防護措施。由于安全漏洞執行補丁僅僅包含了很少量的程序指令，這使得對目標程序的安全監控只需要很好的開銷，大大提高了運行的效率和速度。

5.根據權利要求1所述的基于漏洞特征的動態執行補丁方法，其特征在于：

步驟(1)，虛擬執行監控部件啟動具有安全漏洞的程序；

步驟(2)，外部輸入針對安全漏洞的樣本攻擊代碼；

步驟(3)，惡意攻擊檢測部件發現并記錄攻擊代碼在本地的執行路徑；

步驟(4)，執行補丁生成部件根據執行路徑信息產生安全漏洞的執行補丁；

步驟(5)，將執行補丁發送到虛擬執行監控部件；

步驟(6)，虛擬執行監控部件修復該安全漏洞。