[發(fā)明專利]適用于云環(huán)境的跨主機(jī)動(dòng)態(tài)污點(diǎn)追蹤方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201910344787.6
• 申請(qǐng)日: 2019-04-26
• 公開(kāi)（公告）號(hào): CN110177085B
• 公開(kāi)（公告）日: 2020-09-08
• 發(fā)明（設(shè)計(jì)）人: 鄒德清;金海;朱康;李偉明
• 申請(qǐng)（專利權(quán)）人: 華中科技大學(xué)
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08
• 代理公司: 華中科技大學(xué)專利中心 42201
• 代理人: 曹葆青;李智

1.一種適用于云環(huán)境的跨主機(jī)動(dòng)態(tài)污點(diǎn)追蹤方法，其特征在于，包括：

(1)持續(xù)監(jiān)控云環(huán)境中各主機(jī)端應(yīng)用程序的API調(diào)用行為，若檢測(cè)到主機(jī)中應(yīng)用程序調(diào)用了網(wǎng)絡(luò)發(fā)送相關(guān)的API，則將該主機(jī)作為源主機(jī)并轉(zhuǎn)入步驟(2)；若檢測(cè)到主機(jī)中應(yīng)用程序調(diào)用了網(wǎng)絡(luò)接收相關(guān)的API，則將該主機(jī)作為目的主機(jī)并轉(zhuǎn)入步驟(4)；

(2)在所述源主機(jī)端檢測(cè)網(wǎng)絡(luò)發(fā)送緩沖區(qū)中的待發(fā)送報(bào)文是否包含污點(diǎn)數(shù)據(jù)，若是，則轉(zhuǎn)入步驟(3)；否則，直接發(fā)送所述待發(fā)送報(bào)文，轉(zhuǎn)入步驟(1)；

(3)根據(jù)所述待發(fā)送報(bào)文中數(shù)據(jù)的污染情況，生成一個(gè)或多個(gè)污點(diǎn)數(shù)據(jù)包，發(fā)送所生成的污點(diǎn)數(shù)據(jù)包以完成對(duì)所述待發(fā)送報(bào)文的發(fā)送，并轉(zhuǎn)入步驟(1)；

其中，所述污點(diǎn)數(shù)據(jù)包的長(zhǎng)度不超過(guò)MTU值，所述污點(diǎn)數(shù)據(jù)包由污點(diǎn)頭部和污點(diǎn)載荷組成，所述污點(diǎn)載荷為一個(gè)完整報(bào)文或報(bào)文的一個(gè)分片，根據(jù)同一報(bào)文生成的所有污點(diǎn)數(shù)據(jù)包的污點(diǎn)載荷可重組得到該報(bào)文；

所述污點(diǎn)頭部包括標(biāo)識(shí)、分片標(biāo)識(shí)、數(shù)據(jù)長(zhǎng)度以及校驗(yàn)和；所述標(biāo)識(shí)用于唯一標(biāo)識(shí)報(bào)文并標(biāo)明該報(bào)文中是否包含污點(diǎn)數(shù)據(jù)；所述分片標(biāo)識(shí)用于記錄污點(diǎn)載荷在報(bào)文中的偏移并標(biāo)明該污點(diǎn)載荷是否為報(bào)文中的最后一個(gè)分片；所述數(shù)據(jù)長(zhǎng)度用于記錄污點(diǎn)載荷的長(zhǎng)度；所述校驗(yàn)和用于驗(yàn)證報(bào)文是否被正確傳輸；

所述污點(diǎn)頭部還包括：污染信息，用于記錄污點(diǎn)載荷的污染情況；

所述污染信息包括一個(gè)或多個(gè)表項(xiàng)，每一個(gè)表項(xiàng)對(duì)應(yīng)污點(diǎn)載荷中一段連續(xù)的污點(diǎn)數(shù)據(jù)；

每一個(gè)表項(xiàng)記錄的信息包括：污點(diǎn)數(shù)據(jù)類型、污點(diǎn)數(shù)據(jù)段在污點(diǎn)載荷中的偏移量以及長(zhǎng)度；

每一個(gè)表項(xiàng)記錄的信息還包括：污點(diǎn)數(shù)據(jù)段對(duì)應(yīng)的位圖，用于記錄該污點(diǎn)數(shù)據(jù)段中的每一比特位數(shù)據(jù)是否被污染；

(4)在所述目的主機(jī)端檢測(cè)網(wǎng)絡(luò)接收緩沖區(qū)中的待接收?qǐng)?bào)文中是否包含污點(diǎn)數(shù)據(jù)，若是，則轉(zhuǎn)入步驟(5)；否則，直接接收所述待接收?qǐng)?bào)文，轉(zhuǎn)入步驟(1)；

(5)解析所述網(wǎng)絡(luò)接收緩沖區(qū)中的污點(diǎn)數(shù)據(jù)包的污點(diǎn)頭部，利用屬于所述待接收?qǐng)?bào)文的污點(diǎn)數(shù)據(jù)包重組所述待接收?qǐng)?bào)文，并在所述目的主機(jī)中對(duì)所述待接收?qǐng)?bào)文中數(shù)據(jù)的污點(diǎn)屬性進(jìn)行設(shè)置，從而完成對(duì)所述待接收?qǐng)?bào)文的接收，轉(zhuǎn)入步驟(1)。

2.如權(quán)利要求1所述的適用于云環(huán)境的跨主機(jī)動(dòng)態(tài)污點(diǎn)追蹤方法，其特征在于，所述污點(diǎn)頭部還包括：頭部長(zhǎng)度，用于記錄污點(diǎn)頭部的長(zhǎng)度。

3.如權(quán)利要求1所述的適用于云環(huán)境的跨主機(jī)動(dòng)態(tài)污點(diǎn)追蹤方法，其特征在于，所述污點(diǎn)數(shù)據(jù)包中的污點(diǎn)頭部經(jīng)過(guò)了無(wú)損數(shù)據(jù)壓縮。

4.如權(quán)利要求1所述的適用于云環(huán)境的跨主機(jī)動(dòng)態(tài)污點(diǎn)追蹤方法，其特征在于，污點(diǎn)數(shù)據(jù)的標(biāo)定方法為：

將鍵盤緩沖區(qū)、敏感文件和敏感內(nèi)存作為污點(diǎn)源；

若被追蹤的目標(biāo)程序訪問(wèn)了鍵盤緩沖區(qū)中的數(shù)據(jù)，則將被訪問(wèn)的數(shù)據(jù)標(biāo)記為污點(diǎn)數(shù)據(jù)；

若所述目標(biāo)程序訪問(wèn)了敏感文件中的數(shù)據(jù)，則將被訪問(wèn)的敏感文件中所有的數(shù)據(jù)均標(biāo)記為污點(diǎn)數(shù)據(jù)；

若分配給所述目標(biāo)程序的內(nèi)存空間中出現(xiàn)了預(yù)先定義的特征字符串，則將內(nèi)存中被所述目標(biāo)程序訪問(wèn)過(guò)的數(shù)據(jù)標(biāo)記為污點(diǎn)數(shù)據(jù)；

其中，所述敏感文件為保存有不能被泄漏的信息的文件，所述敏感內(nèi)存為出現(xiàn)了預(yù)先定義的特征字符串的內(nèi)存。

5.如權(quán)利要求4所述的適用于云環(huán)境的跨主機(jī)動(dòng)態(tài)污點(diǎn)追蹤方法，其特征在于，所述步驟(1)還包括：若檢測(cè)到主機(jī)中應(yīng)用程序調(diào)用了在本地訪問(wèn)污點(diǎn)數(shù)據(jù)的API，則根據(jù)污點(diǎn)傳播規(guī)則，對(duì)各指令目的操作數(shù)的污點(diǎn)屬性進(jìn)行拷貝、合并、覆蓋或者清除。

6.如權(quán)利要求5所述的適用于云環(huán)境的跨主機(jī)動(dòng)態(tài)污點(diǎn)追蹤方法，其特征在于，還包括：若主機(jī)中應(yīng)用程序在本地訪問(wèn)污點(diǎn)數(shù)據(jù)時(shí)，將污點(diǎn)數(shù)據(jù)寫(xiě)入了非敏感文件，則將該文件標(biāo)記為敏感文件。

7.如權(quán)利要求1所述的適用于云環(huán)境的跨主機(jī)動(dòng)態(tài)污點(diǎn)追蹤方法，其特征在于，所述步驟(1)中，對(duì)應(yīng)用程序的API調(diào)用行為的監(jiān)控是通過(guò)在VMM層插樁實(shí)現(xiàn)的。

8.一種適用于云環(huán)境的跨主機(jī)動(dòng)態(tài)污點(diǎn)追蹤系統(tǒng)，其特征在于，包括：監(jiān)控模塊、第一發(fā)送模塊、第二發(fā)送模塊、第一接收模塊以及第二接收模塊；

所述監(jiān)控模塊用于持續(xù)監(jiān)控云環(huán)境中各主機(jī)端應(yīng)用程序的API調(diào)用行為；

所述第一發(fā)送模塊用于在所述監(jiān)控模塊檢測(cè)到主機(jī)中應(yīng)用程序調(diào)用了網(wǎng)絡(luò)發(fā)送相關(guān)的API時(shí)將該主機(jī)作為源主機(jī)，在所述源主機(jī)端檢測(cè)網(wǎng)絡(luò)發(fā)送緩沖區(qū)中的待發(fā)送報(bào)文是否包含污點(diǎn)數(shù)據(jù)，并在所述待發(fā)送報(bào)文中不包含污點(diǎn)數(shù)據(jù)時(shí)直接發(fā)送所述待發(fā)送報(bào)文；

所述第二發(fā)送模塊用于在所述第一發(fā)送模塊檢測(cè)到所述待發(fā)送報(bào)文中包含污點(diǎn)數(shù)據(jù)時(shí)，生成一個(gè)或多個(gè)污點(diǎn)數(shù)據(jù)包，并發(fā)送所生成的污點(diǎn)數(shù)據(jù)包以完成對(duì)所述待發(fā)送報(bào)文的發(fā)送；

所述第一接收模塊用于在所述監(jiān)控模塊檢測(cè)到主機(jī)中應(yīng)用程序調(diào)用了網(wǎng)絡(luò)接收相關(guān)的API時(shí)將該主機(jī)作為目的主機(jī)，在所述目的主機(jī)端檢測(cè)網(wǎng)絡(luò)接收緩沖區(qū)中的待接收?qǐng)?bào)文中是否包含污點(diǎn)數(shù)據(jù)，并在所述待接收?qǐng)?bào)文中不包含污點(diǎn)數(shù)據(jù)時(shí)，直接接收所述待接收?qǐng)?bào)文；

所述第二接收模塊用于在所述第一接收模塊檢測(cè)到所述待接收?qǐng)?bào)文中包含污點(diǎn)數(shù)據(jù)時(shí)，解析所述網(wǎng)絡(luò)接收緩沖區(qū)中的污點(diǎn)數(shù)據(jù)包的污點(diǎn)頭部，利用屬于所述待接收?qǐng)?bào)文的污點(diǎn)數(shù)據(jù)包重組所述待接收?qǐng)?bào)文，并在所述目的主機(jī)中對(duì)所述待接收?qǐng)?bào)文中數(shù)據(jù)的污點(diǎn)屬性進(jìn)行設(shè)置，從而完成對(duì)所述待接收標(biāo)報(bào)文的接收；

其中，所述污點(diǎn)數(shù)據(jù)包的長(zhǎng)度不超過(guò)MTU值，所述污點(diǎn)數(shù)據(jù)包由污點(diǎn)頭部和污點(diǎn)載荷組成，所述污點(diǎn)載荷為一個(gè)完整報(bào)文或報(bào)文的一個(gè)分片，根據(jù)同一報(bào)文生成的所有污點(diǎn)數(shù)據(jù)包的污點(diǎn)載荷可重組得到該報(bào)文；

所述污點(diǎn)頭部包括標(biāo)識(shí)、分片標(biāo)識(shí)、數(shù)據(jù)長(zhǎng)度以及校驗(yàn)和；所述標(biāo)識(shí)用于唯一標(biāo)識(shí)報(bào)文并標(biāo)明該報(bào)文中是否包含污點(diǎn)數(shù)據(jù)；所述分片標(biāo)識(shí)用于記錄污點(diǎn)載荷在報(bào)文中的偏移并標(biāo)明該污點(diǎn)載荷是否為報(bào)文中的最后一個(gè)分片；所述數(shù)據(jù)長(zhǎng)度用于記錄污點(diǎn)載荷的長(zhǎng)度；所述校驗(yàn)和用于驗(yàn)證報(bào)文是否被正確傳輸；

所述污點(diǎn)頭部還包括：污染信息，用于記錄污點(diǎn)載荷的污染情況；

所述污染信息包括一個(gè)或多個(gè)表項(xiàng)，每一個(gè)表項(xiàng)對(duì)應(yīng)污點(diǎn)載荷中一段連續(xù)的污點(diǎn)數(shù)據(jù)；

每一個(gè)表項(xiàng)記錄的信息包括：污點(diǎn)數(shù)據(jù)類型、污點(diǎn)數(shù)據(jù)段在污點(diǎn)載荷中的偏移量以及長(zhǎng)度；

每一個(gè)表項(xiàng)記錄的信息還包括：污點(diǎn)數(shù)據(jù)段對(duì)應(yīng)的位圖，用于記錄該污點(diǎn)數(shù)據(jù)段中的每一比特位數(shù)據(jù)是否被污染。