[發(fā)明專利]基于路徑驅(qū)動(dòng)的可執(zhí)行程序安全性檢測(cè)方法及系統(tǒng)

無效

• 申請(qǐng)?zhí)枺?/td>: 201110031214.1
• 申請(qǐng)日: 2011-01-28
• 公開（公告）號(hào): CN102073825A
• 公開（公告）日: 2011-05-25
• 發(fā)明（設(shè)計(jì)）人: 李清寶;牛小鵬;張平;徐冰
• 申請(qǐng)（專利權(quán)）人: 李清寶
• 主分類號(hào): G06F21/22
• 分類號(hào): G06F21/22
• 代理公司: 鄭州大通專利商標(biāo)代理有限公司 41111
• 代理人: 陳大通

1.一種基于路徑驅(qū)動(dòng)的可執(zhí)行程序安全性檢測(cè)方法，其特征是：首先根據(jù)系統(tǒng)的正常功能定義目標(biāo)待分析程序的正常行為約束，然后采用靜態(tài)程序分析和動(dòng)態(tài)程序執(zhí)行相結(jié)合的方法獲得目標(biāo)待分析程序完成系統(tǒng)正常功能所需要的最大工作閉環(huán)和冗余路徑，最后，對(duì)冗余路徑上的程序行為進(jìn)行語義解釋，根據(jù)系統(tǒng)正常行為約束判斷冗余路徑中是否存在針對(duì)該系統(tǒng)的惡意攻擊行為。

2.根據(jù)權(quán)利要求1所述的基于路徑驅(qū)動(dòng)的可執(zhí)行程序安全性檢測(cè)方法，其特征是：所述根據(jù)系統(tǒng)的正常功能定義目標(biāo)待分析程序的正常行為約束的過程如下：

第一、?根據(jù)產(chǎn)品功能說明書和操作行為規(guī)范說明書列舉系統(tǒng)的正常功能；

第二、?根據(jù)產(chǎn)品功能說明書和操作行為規(guī)范說明書列舉系統(tǒng)在特殊情況下的表現(xiàn)；

第三、將系統(tǒng)的正常功能和特殊情況下的表現(xiàn)用形式化的語言描述，形成系統(tǒng)正常行為約束集。

3.根據(jù)權(quán)利要求2所述的基于路徑驅(qū)動(dòng)的可執(zhí)行程序安全性檢測(cè)方法，其特征是：所述形式化的語言為LTL線性時(shí)態(tài)邏輯語言，或?yàn)镃TL計(jì)算樹邏輯語言。

4.根據(jù)權(quán)利要求1所述的基于路徑驅(qū)動(dòng)的可執(zhí)行程序安全性檢測(cè)方法，其特征是：所述采用靜態(tài)程序分析和動(dòng)態(tài)執(zhí)行相結(jié)合的方法獲得目標(biāo)待分析程序完成系統(tǒng)正常功能所需要的最大工作閉環(huán)和冗余路徑的過程如下：

步驟一、利用程序靜態(tài)分析技術(shù)獲得目標(biāo)待分析程序的關(guān)鍵信息，這些關(guān)鍵信息含有目標(biāo)待分析程序的基本操作單元?jiǎng)澐帧⒒静僮鲉卧g的邏輯跳轉(zhuǎn)關(guān)系、路徑分支點(diǎn)和路徑條件；

步驟二、執(zhí)行目標(biāo)待分析程序，根據(jù)路徑條件對(duì)“污點(diǎn)”變量賦值；

步驟三、在路徑分支點(diǎn)中的第一個(gè)分支節(jié)點(diǎn)處中斷執(zhí)行，判斷該分支節(jié)點(diǎn)處的分支是否涉及“污點(diǎn)”變量；如果該分支節(jié)點(diǎn)處的分支涉及“污點(diǎn)”變量，則在分支處對(duì)系統(tǒng)做“快照”處理；如果該分支節(jié)點(diǎn)處的分支不涉及“污點(diǎn)”變量，則繼續(xù)執(zhí)行目標(biāo)待分析程序，并進(jìn)入相應(yīng)的路徑分支，如果相應(yīng)的路徑分支涉及“污點(diǎn)”變量，則在相應(yīng)的路徑分支處對(duì)系統(tǒng)做“快照”處理，直到該條路徑探測(cè)完畢；

步驟四、一條路徑探測(cè)完畢，對(duì)該路徑上的語義進(jìn)行解釋，判斷該路徑上主要做了什么操作，并對(duì)操作做記錄；

步驟五、按照深度優(yōu)先原則向上回溯至前一分支節(jié)點(diǎn)，加載該分支節(jié)點(diǎn)處的系統(tǒng)“快照”，在保證系統(tǒng)運(yùn)行內(nèi)存一致性的前提下修改該分支節(jié)點(diǎn)上的“污點(diǎn)”變量，將程序驅(qū)動(dòng)至其他路徑分支，挖掘該路徑分支上的行為；

步驟六、判斷該路徑分支上的行為是否覆蓋了系統(tǒng)的正常行為？如不是，重新回到步驟二；如是，則找到了該目標(biāo)待分析程序的最大工作閉環(huán)，未執(zhí)行到的路徑分支為冗余路徑。

5.一種基于路徑驅(qū)動(dòng)的可執(zhí)行程序安全性檢測(cè)系統(tǒng)，其特征是：該惡意行為分析系統(tǒng)的具體工作過程如下：

步驟a、首先利用產(chǎn)品功能說明書和操作行為規(guī)范說明書獲得所檢系統(tǒng)的正

常功能，并將該正常功能用形式化的語言表示出來，作為所檢系統(tǒng)正常行為約束輸入到惡意行為分析系統(tǒng)中；

步驟b、提取核心控制芯片內(nèi)部的目標(biāo)控制程序，將其反匯編成可調(diào)試的源

碼，作為惡意行為分析系統(tǒng)的原始輸入數(shù)據(jù)；

步驟c、惡意行為分析系統(tǒng)對(duì)源碼進(jìn)行分析預(yù)處理，并將不同結(jié)構(gòu)的源碼用

統(tǒng)一的中間語言表示，以便于分析，同時(shí)提取目標(biāo)控制程序的控制流圖；提取出來的控制流圖包含了目標(biāo)控制程序所有的可執(zhí)行路徑和每條路徑上的操作節(jié)點(diǎn)；每個(gè)操作節(jié)點(diǎn)代表目標(biāo)控制程序中的一個(gè)操作基本單元，操作基本單元是按照跳轉(zhuǎn)語句來劃分的；

步驟d、對(duì)目標(biāo)控制程序進(jìn)行靜態(tài)分析；

步驟e、動(dòng)態(tài)地執(zhí)行目標(biāo)控制程序，形成所檢系統(tǒng)正常工作情況下的最大工

作狀態(tài)閉環(huán)和越界行為集；針對(duì)越界行為集中的操作路徑做深度行為特征挖掘，根據(jù)所檢系統(tǒng)正常行為約束，綜合推理判斷越界行為集中是否包含有對(duì)所檢系統(tǒng)狀態(tài)進(jìn)行修改或者破壞的行為，進(jìn)而判斷目標(biāo)控制程序是否含有可疑攻擊行為。