[發明專利]基于內存隔離的文件系統安全保護方法

在審

• 申請號: 202310477825.1
• 申請日: 2023-04-28
• 公開（公告）號: CN116522348A
• 公開（公告）日: 2023-08-01
• 發明（設計）人: 明銘;孫建華
• 申請（專利權）人: 湖南大學
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/55;G06F12/14;G06F11/36
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種模糊測試文件系統的內存隔離保護方法，其特征在于實施步驟為：

(1)對文件系統進行模糊測試，挖掘漏洞并生成漏洞報告；

(2)結合漏洞報告對內核代碼進行反向污點分析，識別敏感操作對應的脆弱對象；

(3)針對脆弱對象的內存操作請求進行內存隔離，主要有兩種操作請求：內存分配請求、內存釋放請求。

2.根據權利要求1所述的對文件系統進行模糊測試的方法，其特征在于本方法在模糊測試階段：

(1)根據給定文件系統種子構建初始語料庫；

(2)從初始語料庫中選取測試用例，對其進行變異并生成新的測試用例；

(3)根據測試用例掛載目標文件系統，執行給定系統調用指令，分析代碼覆蓋率并輸出覆蓋率位圖；

(4)對運行中的系統針對不同類型的漏洞進行檢測，輸出檢測信息并與覆蓋率位圖合并生成模糊測試反饋報告；

(5)分析漏洞反饋報告中的測試用例，篩選符合要求的測試用例，將其放入語料庫，并為其生產相應的漏洞報告；

(6)重復執行模糊測試，直到達到預期效果。

3.根據權利要求1所述識別敏感操作對應的脆弱對象的方法，其特征在于本方法獲取漏洞報告后，結合內核源代碼進行反向污點分析獲取脆弱對象：

(1)分析漏洞報告，獲取與無效內存訪問操作相關聯的污點變量；

(2)提取漏洞報告中的調用跟蹤路徑，構建控制流圖并在該圖上反向追溯污點變量，識別污點變量所屬的脆弱結構；

(3)根據靜態分析中污點傳播方式，推斷從污點源到錯誤觸發點之間所有與脆弱結構有關的對象，將這些對象標記為脆弱對象，并記錄這些對象的分配地址。

4.根據權利要求1所述針對脆弱對象的內存操作請求進行內存隔離的方法，其特征在于本方法針對脆弱對象的內存分配請求：

(1)獲取該分配請求命令的上下文；

(2)調用輔助函數分配內存空間并返回所需的內存地址，此時分配的內存空間為新的內存空間，不與其他對象的空間重疊；

(3)將該內存地址記錄在BPF映射中。

5.根據權利要求1所述針對脆弱對象的內存操作請求進行內存隔離的方法，其特征在于本方法針對脆弱對象的內存釋放請求：

(1)直接返回，不對內存進行釋放；

(2)在eBPF程序中繼續被跟蹤存儲該脆弱對象的內存空間，保證內存的一次性分配。