【摘 要】
:
恶意程序分析是防范恶意软件攻击的重要步骤,动态二进制分析作为一种最常见的程序分析技术,通常需要依赖于程序的运行时信息,而程序的数据流就包括了程序运行时众多的有用信息。现有的数据流跟踪系统中,分析者通常将恶意软件置于软件模拟器下运行,使用插桩的方式分析全系统,但整体的开销非常大,效率非常低,分析的透明性难以得到保障。针对这些问题,提出了一种高效的进程级数据流跟踪方法。首先,结合开源模拟器QEMU用户
论文部分内容阅读
恶意程序分析是防范恶意软件攻击的重要步骤,动态二进制分析作为一种最常见的程序分析技术,通常需要依赖于程序的运行时信息,而程序的数据流就包括了程序运行时众多的有用信息。现有的数据流跟踪系统中,分析者通常将恶意软件置于软件模拟器下运行,使用插桩的方式分析全系统,但整体的开销非常大,效率非常低,分析的透明性难以得到保障。针对这些问题,提出了一种高效的进程级数据流跟踪方法。首先,结合开源模拟器QEMU用户态TCG(Tiny Code Generator)执行引擎效率低但易于插桩分析和内核态KVM不易于控制但执行效率高的特点,引入了一种动态KVM/TCG执行引擎切换系统,将恶意软件镜像置于TCG引擎下执行,系统其余部分置于KVM引擎下执行,充分发挥两种引擎的优势。其次,实现了恶意软件在TCG执行时将客户机指令转换成LLVM中间语言,并基于该中间语言进行指令级插桩传播污点。当恶意程序进行部分外部API调用时,停止指令级插桩传播,设计补丁使用API参数和语义分析的方式进行函数级污点传播,这样就能在损失少量污点跟踪信息的情况下,极大地降低污点跟踪的开销。然后,针对LLVM中间语言执行效率低的特点,设计了插桩缓存优化策略;针对不同的设备和存储器件访问频度特点,设计了不同的影子内存数据结构。最后,分别在IE浏览器和记事本上测试了该数据流跟踪系统的性能和效率,实验结果表明,该数据流跟踪方法相对于KVM开销只有4.243倍,相对于纯模拟器更具有实用价值。
其他文献
在电脑中,我们经常有一些图片文件、照片文件需要进行加密,在企业里面也包括一些设计图纸等。如何对这些图片文件进行加密呢?可以通过以下方法。方法一、采用图片种子对图片、
以京瑞3号番茄品种为试验试材,以人工授粉为对照,通过不同浓度2,4-D处理番茄花蕾来研究外源激素代替种子发育产生生长激素刺激果实生长,从而实现番茄大幅增产。结果表明,与人
党的十七大报告强调要继续大规模培训干部,充分发挥党校、行政学院、干部学院作用,大幅度提高干部素质。国家公务员局也在2008年12月根据公务员法、《干部教育培训工作条例(试
目的 生产设备的清洁验证是药品GMP生产控制的重要环节,总有机碳(total organic carbon,TOC)对残留物复杂多样的头孢制药设备的清洁验证尤为合适。方法 以头孢呋辛钠为例,针对
永春漆篮历史久远,技艺精湛,蕴含着丰富的文化价值和艺术价值,是福建省重要的非物质文化遗产之一。在以科技为主导的现代社会,永春漆篮遭遇到了技艺失传、经济欠佳、品质不齐
简介了HPF法焦炉煤气脱硫工艺及其特点,指出了生产中存在的问题,提出了相应的解决措施:选择质量稳定的催化剂以保证脱硫效果;控制初冷温度为25℃,初冷塔间温差〈3℃,以防止堵塔;控制
通过对6204/Z1、30206、N209轴承在不同载荷下加速寿命试验研究。结果表明在加速试验条件下,轴承的失效机理没有改变,试验数据处理所得的形状参数均值基本相同,并符合Weibull分布。从定量和定性分析说明
河南嵩县康达萤石矿位于华北地台南缘,为秦岭多金属和非金属成矿带嵩县西南部车村萤石矿集区。为确定该矿床的成矿时代,为矿床成因研究和找矿勘探提供依据,采用MC-ICP-MS对矿
基础·关键·症结──练琴要点综析潘如仪学习任何一门知识,掌握任何一种技能,一定要有正确的学习方法,才能提高学习效率,取得预期的效果。对于钢琴教学来说,一位好的钢琴教师,不但
从女性主义角度解读王安忆作品的女性主体意识。试以《长恨歌》为例,探讨王安忆作品中女性主体意识的缺失及女性对“他者”的依附性。在《弟兄们》这部作品中,王安忆将男性意