[發明專利]針對惡意行為的多層語義標注及檢測方法

無效

• 申請號: 200810141454.5
• 申請日: 2008-09-25
• 公開（公告）號: CN101359351A
• 公開（公告）日: 2009-02-04
• 發明（設計）人: 龐建民;張靖博;趙榮彩;付文;劉曉楠;王強;白莉莉;韓小素
• 申請（專利權）人: 中國人民解放軍信息工程大學
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 鄭州大通專利商標代理有限公司
• 代理人: 陳大通

1.一種針對惡意行為的多層語義標注及檢測方法，包括標注子模塊和檢測子模塊，其中標注子模塊和檢測子模塊包括對二進制語義層的標注和檢測，其特征在于：

標注子模塊和檢測子模塊還包括對線性指令語義層、控制流圖語義層、過程調用圖語義層和應用程序級語義層分別標注和檢測；

標注及檢測的各層之間利用分析過程中產生的中間檢測結果傳遞信息，不同層次的分析相對于其他層次來說是獨立的；

分析策略為基于對反編譯逆向分析的目標程序行為進行分析；

在五個層面對代碼語義進行分析，分別為：

(1)在二進制層面，對二進制目標文件中惡意行為代碼進行分析和標注，然后將分析結果結合該層特征庫中的內容比較，最終完成對該層的檢測，并給出檢測結果；

(2)在線性指令層面，對二進制文件分解，提取其中的二進制指令流入口點信息；對二進制指令流進行解碼和語義分析，在機器指令解碼塊內部執行針對線性惡意行為進行標注、分析，然后將分析結果結合該層序列庫內容進行對該層的檢測，并給出檢測結果；

(3)在控制流圖層面，結合程序控制流關系，將指令語義層的線性行為分析結果進行提升與拼接，在線性代碼的分析基礎上，分析帶有分支和循環結構的惡意行為，并對其進行標注，結合該層序列庫內容進行對該層的檢測，并給出檢測結果；

(4)在過程調用圖層面，從文件整體角度出發，對過程間數據流進行分析，依據過程內部行為分析結果，在調用圖基礎上針對跨過程惡意行為形式進行標注，結合該層行為庫內容進行對該層的檢測，并給出檢測結果；

(5)在應用程序級層面，從整個應用程序角度出發，構建應用程序級文件視圖，依據文件內部行為分析結果，分析并標注出整個目標軟件系統中可能存在的惡意行為，結合該層行為庫內容進行對該層的檢測，并給出檢測結果。

2.根據權利要求1所述的多層語義標注及檢測方法，其特征在于：程序行為被定義為Backus-Naul范式，并且利用五種語句間的關系運算來刻畫程序行為，以及應用于惡意代碼檢測的基于Backus-Naul范式的惡意行為信息描述庫。

3.根據權利要求1所述的多層語義標注及檢測方法，其特征在于：在線性指令層面的分析包括獲取二進制文件的文件字段、惡意代碼特征碼、文件屬性信息，并進行標注。

4.根據權利要求1所述的多層語義標注及檢測方法，其特征在于：在控制流圖語義層面在控制流圖的基礎上，重點考慮對過程內基本塊之間的聯系和特征進行標注。

5.根據權利要求1所述的多層語義標注及檢測方法，其特征在于：過程調用圖語義層面分析當前文件內部存在的調用圖信息，其標注的主要對象為函數過程，在調用圖基礎上針對跨過程惡意行為形式進行標注；結合過程內部分析結果，利用過程調用參數及返回值分析，連接跨過程的數據傳輸鏈，針對部分匹配的程序行為進行化簡，并將簡化后的程序行為加入臨時行為匹配模板庫。

6.根據權利要求1所述的多層語義標注及檢測方法，其特征在于：從應用程序角度出發，依據文件內部行為分析結果，應用程序級語義層面結合二進制語義層面層獲取的動態鏈接文件彼此之間的關聯信息，對當前整個目標軟件系統中可能存在的惡意行為進行全面分析和標注。

7.根據權利要求4所述的多層語義標注及檢測方法，其特征在于：在數據流分析結果的基礎上，通過切片算法簡化程序分析目標代碼描述。

8.根據權利要求7所述的多層語義標注及檢測方法，其特征在于：結合基本塊內數據流分析結果，針對部分匹配的程序行為進行簡化，并將簡化后程序行為加入臨時行為匹配模板庫。