[發明專利]一種軟件漏洞挖掘方法

有效

• 申請號: 201010171979.0
• 申請日: 2010-05-07
• 公開（公告）號: CN101847121A
• 公開（公告）日: 2010-09-29
• 發明（設計）人: 王鐵磊;韋韜;鄒維;張超;戴帥夫;丁羽;李義春
• 申請（專利權）人: 北京大學
• 主分類號: G06F11/36
• 分類號: G06F11/36
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 馮藝東

1.一種軟件漏洞挖掘方法，其步驟為：

1)將多個正常數據分別輸入目標程序，收集該目標程序處理每個正常數據的運行時信息；

2)根據步驟1)所得的運行時信息，修改正常數據，生成畸形數據；

3)將生成的多個畸形數據分別輸入該目標程序，收集該目標程序處理每個畸形數據的運行時信息；

4)根據步驟1)、3)收集的運行時信息，識別該目標程序中校驗和的檢測代碼；

5)修改識別出的校驗和的檢測代碼，使得修改后的目標程序處理畸形數據時的執行行為與處理正常數據時一致；

6)生成若干畸形數據并輸入步驟5)所修改后的目標程序；

7)將使修改后的目標程序崩潰的畸形數據作為樣本數據，修改每個樣本數據中校驗和的域值，使修改后的樣本數據能夠通過原始目標程序的校驗和檢測；

8)將步驟7)修改后的樣本數據輸入原目標程序，如果原目標程序崩潰或發生異常則收集原目標程序執行的調用棧以及執行上下文信息，并報告一個潛在的安全漏洞；

其中，所述運行時信息包括：條件跳轉指令、條件跳轉指令是否發生跳轉、影響條件跳轉指令中所用到的標志寄存器指令的第一個操作數所依賴的輸入字節信息和第二個操作數所依賴的輸入字節信息。

2.如權利要求1所述的方法，其特征在于所述條件跳轉指令為依賴的輸入字節數目超過預定值的條件跳轉指令；利用該目標程序中的條件跳轉指令識別該目標程序中校驗和的檢測代碼。

3.如權利要求1或2所述的方法，其特征在于所述運行時信息的收集方法為：

1)利用系統調用劫持方法監控目標程序對正常數據的讀入；

2)當目標程序將正常數據讀入內存時，記錄相應內存地址與輸入數據之間的依賴關系；

3)利用代碼植入方法，在目標程序的每條機器指令前植入相應的監控代碼，監控每條指令的執行，收集所述運行時信息。

4.如權利要求3所述的方法，其特征在于記錄相應內存地址與輸入數據之間的依賴關系的方法為：當目標程序將正常數據讀入內存時，以每個字節在正常輸入數據中的位置偏移標示該字節，并記錄每個內存單元來源于哪些字節。

5.如權利要求1或2所述的方法，其特征在于識別所述目標程序中校驗和的檢測代碼的方法為：

a)將步驟1)中輸出的運行時信息統計為兩個集合：P0和P1；其中，P0包含步驟1)中輸出的條件跳轉指令中沒有發生跳轉的指令；P1包含步驟1)中輸出的條件跳轉指令中發生跳轉的指令；

b)將步驟3)中輸出的運行時信息統計為兩個集合：P0′和P1′；其中，P0′包含步驟

3)中輸出的條件跳轉指令中沒有發生跳轉的指令；P1′包含步驟3)中輸出的條件跳轉指令中發生跳轉的指令；

c)輸出(P1∩P0′)∪(P0∩P1′)中的條件跳轉指令，將其作為校驗和的檢測代碼。

6.如權利要求5所述的方法，其特征在于所述修改識別出的校驗和的檢測代碼的方法為：

a)定位識別出的校驗和的檢測代碼在所述目標程序中的位置；

b)如果輸入正常樣本時，校驗和的檢測代碼一直發生跳轉，則將目標程序中的條件跳轉指令修改為直接跳轉指令，該直接跳轉指令的目的地址指向該條件跳轉指令的跳轉地址；

c)如果輸入正常樣本時，條件跳轉指令一直不發生跳轉，將目標程序中的條件跳轉指令修改為等長的nop指令。

7.如權利要求1所述的方法，其特征在于所述步驟4)中，同時識別正常數據中的校驗和域；其方法為：對于每一校驗和的檢測代碼，查找影響當前校驗和的檢測代碼所使用的標志寄存器指令j，檢測指令j的第一個操作數和第二個操作數所依賴的輸入字節信息；如果第一個操作數依賴的輸入字節個數超過第二個操作數所依賴的輸入字節個數，則將第二個操作數所依賴的輸入字節作為輸入樣本中的校驗和域；如果第二個操作數依賴的輸入字節個數超過第一個操作數所依賴的輸入字節個數，則將第一個操作數所依賴的輸入字節作為輸入樣本中的校驗和域。