基于数据不可信的缓冲区溢出攻击检测技术研究

《基于数据不可信的缓冲区溢出攻击检测技术研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、万方数据分类号UDC密级学位论文基于数据不可信的缓冲区溢出攻击检测技术研究作者姓名：许来光指导教师：董晓梅副教授东北大学信息科学与工程学院申请学位级别：硕士学科类别：工学学科专业名称：计算机软件与理论论文提交日期：2014年6月学位授予日期：2014年7月评阅人：申德荣、许景科论文答辩日期：2014年6月答懒△摘：申德荣东北大学2014年6月万方数据AThesisinComputerSoftwareandTheoryResearchofBufferOverflowAttackDetectionBasedonDataUnreliabilitybyXuLaiguangSupervisor：Asso

2、ciateProfessorDongXiaomeiNortheasternUniversityJune2014万方数据独创性声明㈣㈣圳Ⅲ川Ⅲ⋯川

3、

4、lIl㈣Y2989103本人声明，所呈交的学位论文是在导师的指导下完成的。论文中取得的研究成果除加以标注和致谢的地方外，不包含其他人己经发表或撰写过的研究成果，也不包括本人为获得其他学位而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均己在论文中作了明确的说明并表示谢意。学位论文作者签名：日期：沙J妒，6．≥L学位论文版权使用授权书本学位论文作者和指导教师完全了解东北大学有关保留、使用学位论文的规定：即学校有权保留并向国家有关部门或机构送交

5、论文的复印件和磁盘，允许论文被查阅和借阅。本人同意东北大学可以将学位论文的全部或部分内容编入有关数据库进行检索、交流。作者和导师同意网上交流的时间为作者获得学位后：半年口一年口一年半口两年彳学位论文作者签名：靴签字日期：bI啦、6．≥z导师签名：赦祆签字Et期：≯f飧‘．1了万方数据东北大学硕士学位论文摘要基于数据不可信的缓冲区溢出攻击检测技术研究摘要自1988年首个利用缓冲区溢出漏洞进行传播的病毒Morris爆发以来，缓冲区溢出攻击就一直是计算机安全中最严重的攻击行为之一。近些年，它又成为了高级持续性威胁APT(AdvancedPersistentThreat)的主要攻击手段。在针对伊朗核设

6、施的APT行动中，就利用了7个缓冲区溢出漏洞。虽然工业界和学术界提出各种技术保护软件及操作系统安全，但攻击数量仍有增无减。而漏洞攻击技术也不断发展，从缓冲区溢出到最近的ROP(Return．Oriented．Programming)攻击。漏洞攻击检测是信息安全领域的研究热点，特别是如何在二进制代码级检测攻击更是业界关注的焦点，但x86指令的复杂性给检测带来诸多挑战。本文针对缓冲区溢出攻击时，攻击代码来源于程序接收的输入数据这一特点，提出了一种基于数据不可信的检测方法。当程序修改流程时，如果将要执行的代码是输入数据的子串，就表明发生了缓冲区溢出攻击。为了避免频繁进行攻击代码匹配所带来的巨大额外开

7、销，本文提出了一个预处理方法，将显然合法的跳转目的地址与可疑的跳转目的地址区分出来，只对可疑的跳转进行攻击代码匹配，这种方式可以有效地降低额外开销。对于ROP攻击，由于在ROP攻击时ROP链也是源于原始数据，因此数据不可信的思想同样可以用于检测ROP攻击。本文提出了一个基于数据不可信的ROP攻击检测方法，检测到疑似ROP链时，将当前栈顶指针ESP(ExtendedStackPointer)指向的内容与原始输入数据比较，从而判断是否发生了ROP攻击；利用动态插桩技术，本文在Win32平台下实现了基于数据不可信的缓冲区溢出攻击检测方法的原型系统。使用该系统对多种缓冲区溢出攻击进行检测，实验证明，本

8、文提出的基于数据不可信的检测方法在准确性上达到了良好的效果。同时，本文方法也将额外开销降低到了一个合理的范围。关键词：信息安全；缓冲区溢出；ROP攻击；攻击检测；动态插桩万方数据东北大学硕士学位论文AbstractResearchofBufferOverflowAttackDetectionBasedonDataUnreliabilityAbstractSincetheMorris，thewormwhichfirstlyusesbufferoverflowvulnerabilitiestospread，breaksoutin1988，bufferoverflowattackhasbeenone

9、ofthemostseriouscomputersecurityattacks．Inrecentyears，ithasbecomethemajorattackmethodinadvancedpersistentthreat(APT)．TheattackersusesevenbufferoverflowvulnerabilitiesinAPTactionagainstIran’snuclearfac