[發明專利]一種噴射模式攻擊的檢測方法和裝置

有效

• 申請號: 201410236293.3
• 申請日: 2014-05-29
• 公開（公告）號: CN103984898B
• 公開（公告）日: 2017-02-01
• 發明（設計）人: 郝力男
• 申請（專利權）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京同達信恒知識產權代理有限公司11291
• 代理人: 朱佳

1.一種噴射模式攻擊的檢測方法，其特征在于，包括以下步驟：

以仿真方式執行應用程序，并在所述應用程序執行過程中執行以下操作：

對敏感函數的調用情況進行檢測，所述敏感函數是用于管理內存的函數；

當檢測到所述敏感函數調用異常且產生異常內存塊時，確定所述敏感函數調用異常且產生異常內存塊的累計次數；

若所述敏感函數的調用異常且產生異常內存塊的累計次數不小于第一閾值，則對所述敏感函數調用過程中產生的異常內存塊進行時間戳檢測，依據所述時間戳檢測的結果生成第一分數；

若所述第一分數不小于第二閾值，則確定所述應用程序存在噴射模式的攻擊。

2.如權利要求1所述的方法，其特征在于，所述對所述敏感函數調用過程中產生的異常內存塊進行時間戳檢測，依據所述時間戳檢測的結果生成第一分數，具體包括：

計算相鄰的所述異常內存塊的時間戳之間的第一差值；

確定所述第一差值小于第三閾值的數量；

若所述小于所述第三閾值的所述第一差值的數量不小于第四閾值時，則依據所述第一差值在第一取值范圍或第二取值范圍或第三取值范圍的分布概率生成第一分數。

3.如權利要求2所述的方法，其特征在于，所述依據所述第一差值在第一取值范圍或第二取值范圍或第三取值范圍的分布概率得到第一分數，具體包括：

確定所述第一差值在第一取值范圍的第一分布概率，當所述第一分布概率不小于第五閾值時，依據所述第一分布概率生成第一分數；

當所述第一分布概率小于第五閾值時，確定所述第一差值在第二取值范圍的第二分布概率，當所述第二分布概率不小于第六閾值時，依據第二分布概率生成所述第一分數；

當所述第二分布概率小于第六閾值時，確定所述第一差值在第三取值范圍的第三分布概率，當所述第三分布概率不小于第七閾值時，依據所述第三分布概率生成所述第一分數；

當所述第三分布概率小于第七閾值時，依據所述第一分布概率、所述第二分布概率、所述第三分布概率生成所述第一分數；

其中，所述第三取值范圍包含第二取值范圍；第二取值范圍包含第一取值范圍；

其中，所述第五閾值小于第六閾值，第六閾值小于第七閾值。

4.如權利要求2所述的方法，其特征在于，還包括：

若所述第一分數小于所述第二閾值，則進行釋放后重利用UAF檢測；

確定UAF檢測過程中被釋放又被重新申請的所述異常內存塊的數量；

根據UAF檢測過程中被釋放又被重新申請的所述異常內存塊的數量生成第二分數；

若所述第一分數、所述第二分數的總和不小于所述第二閾值，則確定所述應用程序存在噴射模式的攻擊。

5.如權利要求4所述的方法，其特征在于，還包括：

若所述第一分數、所述第二分數的總和小于所述第二閾值，則進行申請次序檢測；

確定申請次序檢測過程中相鄰的所述異常內存塊的申請次序為遞增的情況的發生次數；

根據申請次序檢測過程中相鄰的所述異常內存塊的申請次序為遞增的情況的發生次數生成第三分數；

若所述第一分數、所述第二分數、所述第三分數的總和不小于所述第二閾值時，則確定所述應用程序存在噴射模式的攻擊。

6.如權利要求5所述的方法，其特征在于，還包括：

若所述第一分數、所述第二分數、所述第三分數的總和小于所述第二閾值，則進行內存布局檢測；

確定內存布局檢測過程中相鄰的所述異常內存塊為連續內存塊的情況的發生次數；

根據內存布局檢測過程中相鄰的所述異常內存塊為連續內存塊的情況的發生次數生成第四分數；

確定內存布局檢測過程中相鄰的所述異常內存塊為連續內存塊時的所述連續內存塊的總長度；

根據所述內存布局檢測過程中相鄰的所述異常內存塊為連續內存塊時的所述連續內存塊的總長度生成第五分數；

若所述第一分數、所述第二分數、所述第三分數、所述第四分數、所述第五分數的總和不小于所述第二閾值時，則確定所述應用程序存在噴射模式的攻擊。