恶意程序分析是防范恶意软件攻击的重要步骤,动态二进制分析作为一种最常见的程序分析技术,通常需要依赖于程序的运行时信息,而程序的数据流就包括了程序运行时众多的有用信息。现有的数据流跟踪系统中,分析者通常将恶意软件置于软件模拟器下运行,使用插桩的方式分析全系统,但整体的开销非常大,效率非常低,分析的透明性难以得到保障。针对这些问题,提出了一种高效的进程级数据流跟踪方法。首先,结合开源模拟器QEMU用户态TCG(Tiny Code Generator)执行引擎效率低但易于插桩分析和内核态KVM不易于控制但执行效率高的特点,引入了一种动态KVM/TCG执行引擎切换系统,将恶意软件镜像置于TCG引擎下执行,系统其余部分置于KVM引擎下执行,充分发挥两种引擎的优势。其次,实现了恶意软件在TCG执行时将客户机指令转换成LLVM中间语言,并基于该中间语言进行指令级插桩传播污点。当恶意程序进行部分外部API调用时,停止指令级插桩传播,设计补丁使用API参数和语义分析的方式进行函数级污点传播,这样就能在损失少量污点跟踪信息的情况下,极大地降低污点跟踪的开销。然后,针对LLVM中间语言执行效率低的特点,设计了插桩缓存优化策略;针对不同的设备和存储器件访问频度特点,设计了不同的影子内存数据结构。最后,分别在IE浏览器和记事本上测试了该数据流跟踪系统的性能和效率,实验结果表明,该数据流跟踪方法相对于KVM开销只有4.243倍,相对于纯模拟器更具有实用价值。