一种缓冲区溢出攻击一种缓冲区溢出攻击的

《一种缓冲区溢出攻击一种缓冲区溢出攻击的》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、第37卷第10期计算机工程2011年5月Vol.37No.10ComputerEngineeringMay2011···安全技术·安全技术···文章编号：：：1000———3428(2011)10———0111———03文献标识码：：：A中图分类号：：：TP309一种缓冲区溢出攻击的的的实时检测方法的实时检测方法1,21史胜利，，，任平安，任平安(1.陕西师范大学计算机科学学院，西安710062；2.包头师范学院信息科学与技术学院，内蒙古包头014030)摘摘摘要要要：要：：：根据攻击者通常通过修改函数返回地址或函数入口地址来改变程序流程的特点以及ELF文件的结构特点，在调用

2、函数和函数调用返回时对某些特定信息进行处理，以检测出攻击行为。依靠动态程序监控平台pin提供的API函数来编写程序运行时监控工具，提出缓冲区溢出攻击实时检测的方法。实例分析表明该方法具有无需对现有的软、硬件系统进行修改的特点。关键词：：：程序监控：；缓冲区溢出；全局偏移表；实时检测Real-timeDetectionMethodofBufferOverflowAttacks1,21SHISheng-li,RENPing-an(1.CollegeofComputerScience,ShaanxiNormalUniversity,Xi’an710062,China;2.Schoo

3、lofInformationScienceandTechnology,BaotouTeacherCollege,Baotou014030,China)【【【Abstract】】】AccordingtothefeaturesthattheattackerusualdependsonmodifyingfunctionreturnaddressorfunctionentryaddresstochangetheprogramexecutionsequenceandthestructuralcharacteristicsofELFfile,whilecallingfunctionand

4、returningafterfunctioncalling,certainspecificinformationisdealedwithinordertodetectattackaction.ThispaperpresentsanewapproachofdetectingbufferoverflowattacksatruntimedependingonthepinthatisatoolforthedynamicprogrammonitoringandprovidesnumbersofAPIfunctionstodesignatoolwhichexecutivesruntime

5、program.Caseanalysisshowsthatthemethoddoesnotneedalterthesoftwareandhardwaresystem.【【【Keywords】】】programmonitoring;bufferoverflow;GlobalOffsetTable(GOT);real-timedetectionDOI:10.3969/j.issn.1000-3428.2011.10.0371概述程序1缓冲区溢出漏洞是现今信息安全的最大威胁之一，在Fun(char*str){charbuffer[100];2010年的Pwn2Own骇客竞赛中，黑客

6、成功攻克了微软的strcpy(buffer,str);}Windows7版IE，绕过了微软用于防止缓冲区溢出的ASLR(地voidmain(intargc,char**argv)址空间编排随机化)和DEP(数据执行防止)两大Windows平台{Fun(argv[1]);}内建的安全防护。缓冲区溢出漏洞依然广泛地存在于各类软件中，是黑客经常利用的攻击手段。对现有的程序来说单纯buffer[0]低端地址依靠防护功能往往不够全面，所以，需要结合程序运行时的...攻击实时检测来共同防御攻击行为。本文通过研究程序执行buffer[99]时缓冲区溢出攻击的特点，提出一种使用程序监控来实时

7、检bp测缓冲区溢出的方法。returnaddressargv2缓冲区溢出攻击的原理高端地址缓冲区溢出攻击要达成其目的需满足一定条件，首先需有缓冲区溢出，其次要覆盖函数指针或函数返回地址等改变图图图1程序1的栈部分数据程序流向的关键值，还有就是需有可执行的攻击代码。如果2.2函数指针覆盖其中有一个条件不能满足，攻击就会失败，那么只要破坏其在程序2和图2中，当执行main中的strcpy函数时，如中的1个或2个条件就可阻止缓冲区溢出攻击。果argv[1]中的字符数超过100个，会覆盖pf函数指针的值，在Li