[發明專利]一種基于動態污點分析進行消息語義解析的方法

無效

• 申請號: 201110437004.2
• 申請日: 2011-12-23
• 公開（公告）號: CN102521543A
• 公開（公告）日: 2012-06-27
• 發明（設計）人: 張博鋒;吳逸倫;賴志權;喬林波;唐勇;張怡
• 申請（專利權）人: 中國人民解放軍國防科學技術大學
• 主分類號: G06F21/00
• 分類號: G06F21/00;H04L29/06
• 代理公司: 湖南省國防科技工業局專利中心 43102
• 代理人: 馮青

1.一種基于動態污點分析進行消息語義解析的方法，其特征在于，包括以下步驟：

1）設置隔離環境；

2）利用動態分析，監控軟件的函數調用行為；

3）利用動態污點分析進行污點源設置，明確污點分析的源數據；

4）觀察并記錄污點傳播過程；

5）對目標數據進行污點確認。

2.根據權利要求1所述的一種基于動態污點分析進行消息語義解析的方法，其特征在于，隔離環境的設置方法是：

（1.1）在宿主操作系統中安裝虛擬機監視器；

（1.2）在隔離環境中建立網絡互聯。

3.根據權利要求1所述的一種基于動態污點分析進行消息語義解析的方法，其特征在于，監控方法如下：

（2.1）在隔離環境中運行軟件，利用虛擬機監視器監視軟件執行的每一條指令，利用指令提供的信息獲取軟件的函數調用行為；

獲取函數調用行為的具體過程為：

（2.1.1）虛擬機監視器監聽軟件運行過程中執行的call指令；

（2.1.2）提取call指令的參數，將call指令的參數同API函數或者系統函數在內存中的入口地址進行匹配；

（2.1.3）根據匹配結果判斷軟件時候調用了某個外部函數，如果匹配結果相同，則說明軟件通過call指令調用了相應的外部函數；

（2.2）利用劫持機制在軟件調用外部函數的時刻植入監控代碼，其中監控代碼是利用虛擬機監視器提供的編程接口編寫的用于完成監控功能的代碼；

監控代碼的植入具體分為下面兩個部分：

（2.2.1）在確認軟件利用call指令調用外部函數時，虛擬機監視器暫停虛擬操作系統，轉而執行獲取輸入參數的監控代碼；

（2.2.2）在虛擬操作系統函數執行完畢后，虛擬機監視器暫停虛擬操作系統，開始執行獲取輸出參數和返回值的監控代碼。

4.根據權利要求1所述的一種基于動態污點分析進行消息語義解析的方法，其特征在于，污點源的選取具體包括：

（3.1）對于接收消息而言，在軟件完成消息接收后，將整個接收緩沖區設置為污點源；

對于接收緩沖區的設置如下：

（3.1.1）在軟件執行完接收函數后，利用監控代碼，提取接收函數的參數，通過參數獲取接收緩沖區在內存中的位置和區間；

（3.1.2）將接收緩沖區的每一個字節都賦予一個確定的標識，這些標識用于區分不同的源數據；

（3.2）對于發送消息而言，污點源的選取在軟件調用發送函數之前就必須完成；

對于發送消息相關污點源的選取如下：

（3.2.1）選定函數中具有確定語義的參數；許多函數的參數具有明確的語義，可以用于表征某一塊數據的語義信息，因此需要從函數中挑選出具有明確語義的參數；

（3.2.2）當軟件調用函數時，分析函數的參數是否攜帶確定語義；

（3.2.3）若參數語義明確，則將參數在內存或者寄存器中的數據設置為污點源；

（3.2.4）所有的輸入參數、輸出參數以及返回值均可作為污點源被成功設置。

5.根據權利要求1所述的一種基于動態污點分析進行消息語義解析的方法，其特征在于，觀察并記錄污點傳播過程的方法如下：

（4.1）動態污點分析通過分析轉移指令，DMA操作，算術操作以及查表指令完成對污點的傳播；

（4.2）軟件在執行過程中伴隨著多次的函數調用，在每次函數調用時，判斷函數的參數是否已經被污染；

（4.3）對于未被污染的參數，不做任何操作；

（4.4）對于被污染的參數，利用污點標識，查找到對應污點源，并將被污染的參數信息，函數信息及其對應的污點標識信息做成結點；

（4.5）將具有相同污點標識的結點根據函數的調用順序記錄下來，對于有多個污點標識的結點而言，在記錄時需要將結點按照污點標識分裂成多個具有單一標識的結點；

（4.6）被污染的參數，將作為新的污點源參與到動態污點分析中。