基于软件行为指纹的自检测防窜改技术研究术

《基于软件行为指纹的自检测防窜改技术研究术》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第25卷第6期计算机应用研究Vo1．25．No．62008年6月ApplicationResearchofComputersJun．2008基于软件行为指纹的自检测防窜改技术研究术李丹，徐海银，李婷，董九山(华中科技大学计算机学院，武汉430074)摘要：对软件的行为进行抽象建模，通过安全hash函数计算软件的行为指纹，并通过自检测防窜改技术检测软件行为指纹，保护客户端软件的完整性和安全性。给出了软件的行为建模和检测，以及自检测防窜改系统，并作了系统安全性分析。关键词：行为指纹；自检测；防窜改中图分类号：TP309文献标志码：A文章编号：

2、lO01—3695(2008)06—1812—03Onsoftwarebehaviorfingerprintbasedself-checkingtamperresistanceLIDan，XUHai—yin，LITing，DONGJiu—shan(CollegeofComputerScience，HuazhongUniversityofScience&Technology，Wuhan430074，China)Abstract：Thispaperproposedasoftwareabstractbehaviormodel，andgotthe

3、behaviorfingerprintbythesecurityhashingfunction，andthencheckedthebehaviorfingerprintwithself-checkingtamperresistanceschemetokeepthesecurityandinte-gralityofclientsoftware．Italsoputforwardthebehaviorserf-checkingmodelandarchitectureoftamperresistance，andana—lyzedthesecuri

4、tyofthescheme。Keywords：behaviorfingerprint；serf-checking；tamperresistance件的行为进行完整性检测，在此基础上给出更加安全的自检测0引言防窜改系统。分析表明，基于软件行为指纹的自检测防窜改技术采用行为检测和自解密技术对软件进行实时保护，能够较好Aucsmith于1996年提出了软件自检测防窜改技术J，用地抵御静态攻击和动态攻击。来保护客户端软件的完整性。目前典型的软件自检测防窜改技术有动态自检测、软件岗哨、遗忘hash及加密防窜1软件行为建模和检测改，o。动态自检测技术

5、采用多个检测器重复的检验程序段的代码指纹，并通过交互叠加检测增加了检测行为的多次连续行为检测BC(behaviorchecking)是指在软件中嵌入一系性。该技术过多地调用检测器，容易被黑客监测并被逐个定位列自定义的代码段，在软件执行过程中计算软件的行为指纹，移除。Chang和Atallah(CA)提出的软件岗哨，通过一系列的并检测结果的正确性。行为指纹是指用数据对软件的抽象行Guards以网状结构交互检测来保护软件和岗哨，Guards不仅可为进行描述，通过安全hash函数SHA1计算得到行为描述数以计算代码的校验和，还能修复被窜改的代码

6、段。这种方法增据的短消息摘要。现有的自检测技术大都对程序的代码进行加了移除的难度，但由于无法避免被定位移除。YuqunChen检测，较少将软件的行为检测应用在自检测技术中，而事实上提出的遗忘hash检测一段程序的部分期望行为，将它的hash一个软件的行为特征比代码自身更能代表一个软件的完整性。结果与期望值进行校验。该方法针对特定的行为进行检测，能软件是由指令和操作数构成的，如何对软件行为进行建模防止部分动态攻击。因为它的hash值以冗余参数的形式隐蔽关键在于对软件的指令进行抽象地描述和建模。一条指令包在程序中，一旦被黑客探测定位成功，就容

7、易被移除。文献含它的表示符号、执行条件、执行动作和操作结果，所以指令由[5，6]中的加密防窜改将加密和自解密技术运用到自检测防指令符号、初始化条件、操作数据、执行动作、运行结果等要素窜改技术中，避免了校验值安全存储的难题，并通过链状的交组成。本文用，表示指令的代码；B表示指令的行为；M表示互检测结构加强了自检测代码的安全，然而局限于对软件的代与指令相关的操作数据；表示参数和状态初始化条件；S表码检测上，无法有效地抵御行为窜改攻击。示统计的指令执行次数和指令数量；P表示程序执行的操作信已有的防窜改技术主要基于代码的hash校验检测，并采息以

8、及运行结果。用参数化方法描述软件的抽象行为，用用交叉链式或网式的检测方式实现对自检测代码的安全保护。(instructionbehavior)表示指令行为，那么指令首先由代码和指由于代码检测不