[發明專利]一種二進制程序漏洞的挖掘裝置和方法

無效

• 申請號: 201210051642.5
• 申請日: 2012-03-01
• 公開（公告）號: CN102622558A
• 公開（公告）日: 2012-08-01
• 發明（設計）人: 崔寶江;梁曉兵
• 申請（專利權）人: 北京郵電大學
• 主分類號: G06F21/22
• 分類號: G06F21/22
• 代理公司: 北京德琦知識產權代理有限公司 11018
• 代理人: 夏憲富

1.一種融合傳算法與動態污染跟蹤的二進制程序漏洞挖掘的裝置，其特征在于：所述裝置設有順序連接的靜態分析模塊、調試器模塊、遺傳算法模塊、測試輸入生成模塊和異常監控模塊，以及位于調試器模塊、遺傳算法模塊之間的動態污染跟蹤模塊；其中：

靜態分析模塊，基于交互式反匯編器專業版IDAPro開發實現的該模塊，用于提取被測試二進制程序中的控制流結構、基本塊的起始地址和危險函數的調用地址，并將這些信息傳送給調試器模塊作為配置信息；即該模塊通過分析二進制程序中的跳轉指令，獲取二進制程序基本塊的起始地址和基本塊之間的跳轉關系；然后利用IDAPro的庫函數獲取二進制程序中的危險函數的調用地址；

調試器模塊，作為該裝置的基礎平臺，用于監控被測試二進制程序的執行過程，并記錄相關信息：根據靜態分析模塊提供的配置信息，識別和攔截Windows底層的應用程序編程接口API函數，獲取被測試二進制程序打開輸入文件的位置和記錄由輸入文件導致的被測試二進制程序執行過的基本塊、輸入文件對應的被測試二進制程序的執行軌跡及該被測試二進制程序中危險函數的執行次數；讀取二進制程序中寄存器和堆棧內的數據，計算并更新二進制程序中的寄存器變量和內存變量的數值；實現對給定的內存地址對被測試二進制程序下斷點的功能；然后調試器模塊將上述計算獲取的信息傳送給遺傳算法模塊，用于計算輸入文件對應的適應度函數值；

動態污染跟蹤模塊，用于實現單字節水平細粒度的動態污染跟蹤，識別被測試二進制程序對應的輸入文件中的關鍵字節，并將該關鍵字節作為遺傳算法模塊交叉和變異的空間，提高遺傳算法的收斂速度：該模塊為被測試二進制程序的輸入數據中每個字節都賦予一個唯一標簽，再跟蹤該標簽在被測試二進制程序中的傳遞過程；且在跟蹤輸入數據傳遞過程中，既考慮數據間的傳遞依賴關系，也考慮不同變量間的控制依賴關系；同時識別被測試二進制程序對應的輸入文件中的關鍵字節，并把關鍵字節信息提供給遺傳算法模塊，用作遺傳算法模塊的交叉和變異的空間；

遺傳算法模塊，負責根據調試器模塊提供的包括每個輸入文件所覆蓋被測試二進制程序的基本塊與其對應的二進制程序執行軌跡和其中危險函數的執行次數，以及動態污染跟蹤模塊識別出來的關鍵字節，計算每個輸入文件對應的被測試二進制程序的基本塊覆蓋率、最小執行路徑信息和該輸入文件對應的危險函數的執行次數，然后計算每個輸入文件對應的適應度函數值，并將該適應度函數值傳遞給測試輸入生成模塊，用于生成新的輸入文件而進行下一輪測試；而且，如果輸入文件對應的適應度函數值較高，則輸入文件可能導致被測試二進制程序覆蓋的基本塊較多、導致被測試二進制程序的執行路徑為“稀少路徑”或導致被測試二進制程序執行的危險函數次數較多；當輸入文件的上述三個數值都較高時，該輸入文件就非常可能觸發其對應的被測試二進制程序潛在的安全漏洞；

測試輸入生成模塊，負責根據來自遺傳算法模塊的每個輸入文件對應的適應度函數值的大小對被測試二進制程序的輸入文件進行排序，然后根據用戶設置的規模，選擇適應度函數值高的輸入文件送至調試器模塊進行下一輪測試，因適應度函數值高的輸入文件更容易觸發被測試二進制程序潛在的安全漏洞；

異常監控模塊，用于監控每個輸入文件中的被測試二進制程序的執行過程，若出現異常，則記錄導致該被測試二進制程序出現異常的輸入文件，并記錄異常在被測試二進制程序中的出現位置、異常類型和異常出現的上下文信息。

2.根據權利要求1所述裝置，其特征在于：所述危險函數是包括內存分配、內存拷貝、字符串和一些含有格式化參數的多種函數；所述關鍵字節是在輸入文件中污染被測試二進制程序中危險函數的參數值的字節，也被稱為該被測試的二進制程序所對應的輸入文件中的關鍵字節。