利用虚拟内存快照检测恶意代码

据美国计算机安全紧急响应小组US-CERT数据库消息,缓冲区溢出已经成为最关切且极为常见的软件漏洞之一。攻击者经常利用这些漏洞注入恶意的shellcode以控制目标主机。不同于具有独立功能的恶意软件,恶意shellcode是作为正常输入数据伪装在二进制代码片段中的。它们被注入到目标进程的虚拟内存,并劫持进程控制流;更重要的是,它们能够在制造破坏之前,可以实现安全隐藏。当前,已提出了许多针对恶意shellcode的入侵检测方法,从检测的时间上看,大致分为两大类:其一,在处理输入数据的过程中进行检测,简称DDC;其二,处理输入数据之间进行检测,简称DBC。本文将介绍怎么利用这两种方法来检测恶意Shellcode。