[發明專利]一種緩沖區溢出攻擊的檢測方法及電子設備

在審

• 申請號: 202011539125.3
• 申請日: 2020-12-23
• 公開（公告）號: CN112597491A
• 公開（公告）日: 2021-04-02
• 發明（設計）人: 吳國相
• 申請（專利權）人: 北京天融信網絡安全技術有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06N20/00;G06N20/10
• 代理公司: 北京金信知識產權代理有限公司 11225
• 代理人: 韓岳松

本申請公開了一種緩沖區溢出攻擊的檢測方法及電子設備，該方法包括：獲取寫入緩沖區的目標數據；確定所述目標數據是否符合邊界條件，其中所述邊界條件包括針對數據字段長度的限定信息；在所述目標數據符合所述邊界條件的情況下，獲取所述目標數據中的多個特征信息，其中，所述特征信息具有各自所表征的目標數據的特征；基于所述特征信息，利用經過訓練的第一模型確定所述緩沖區是否存在被攻擊的行為。該方法能夠利用邊界條件對目標數據進行初始分析判斷，而且還能夠再基于機器學習模型，對原始的寫入緩沖區中的目標數據進行直接分析，從而基于目標數據的多個特征信息來精確的獲得判斷結果，以確定緩沖區是否受到了緩沖區溢出攻擊。

技術領域

本申請涉及信息處理領域，特別涉及一種緩沖區溢出攻擊的檢測方法。

背景技術

在計算機等智能設備的信息處理領域中，針對緩沖區實施的緩沖區溢出攻擊是利用緩沖區溢出漏洞所進行的攻擊行動。緩沖區溢出是一種非常普遍、非常危險的漏洞，在各種操作系統、應用軟件中廣泛存在。利用緩沖區溢出攻擊，可以導致程序運行失敗、系統關機、重新啟動等后果。對于該緩沖區溢出攻擊的檢測，目前是基于對與緩沖區相關程序代碼的分析來判斷是否發生了攻擊行為，但是該手段并不能準確的檢測出攻擊行為，從而不能完全消除緩沖區溢出的漏洞。

發明內容

本申請實施例的目的在于提供一種緩沖區溢出攻擊的檢測方法，該方法能夠通過對原始的寫入緩沖區中的目標數據進行直接分析，從而基于目標數據的多個特征信息來精確的獲得判斷結果，以確定緩沖區是否受到了緩沖區溢出攻擊。

本申請的實施例采用了如下技術方案：一種緩沖區溢出攻擊的檢測方法，其特征在于，包括：

獲取寫入緩沖區的目標數據；

確定所述目標數據是否符合邊界條件，其中所述邊界條件包括針對數據字段長度的限定信息；

在所述目標數據符合所述邊界條件的情況下，獲取所述目標數據中的多個特征信息，其中，所述特征信息具有各自所表征的目標數據的特征；

基于所述特征信息，利用經過訓練的第一模型確定所述緩沖區是否存在被攻擊的行為。

作為可選，所述特征信息至少包括以下至少一個：目標數據的數據字段長度信息，目標數據的數字頻率信息，目標數據的字母頻率信息，目標數據的熵值以及目標數據的字符串的混亂度信息。

作為可選，所述的基于所述特征信息，利用經過訓練的第一模型確定所述緩沖區是否存在被攻擊的行為，包括：

將目標數據的數據字段長度信息，目標數據的數字頻率信息，目標數據的字母頻率信息，目標數據的熵值以及目標數據的字符串的混亂度信息作為所述第一模型的輸入；

基于所述第一模型中經過訓練后確定的核函數，分別對所述目標數據的數據字段長度信息，目標數據的數字頻率信息，目標數據的字母頻率信息，目標數據的熵值以及目標數據的字符串的混亂度信息進行分析，以確定所述緩沖區是否存在被攻擊的行為。

作為可選，所述方法還包括：

通過第二模型確定所述目標數據的字符串的混亂度信息

作為可選，在獲取寫入緩沖區的目標數據后，所述方法還包括：

對所述目標數據進行預處理操作，以使所述目標數據的數據結構和/或數據類型符合預定處理要求，其中，所述預處理操作包括去除所述目標數據中的雜亂數據，以及將所述目標數據中的數據格式轉換為特定格式。

作為可選，所述的確定所述目標數據是否符合邊界條件，包括：

獲取所述目標數據中的數據字段長度；

在所述數據字段長度未超過預設邊界長度的情況下，確定所述目標數據符合所述邊界條件。