高可靠In-VM隐藏进程对抗检测方法

通过隐藏进程执行恶意代码是信息攻击的一种重要手段,目前虚拟化平台中In-VM隐藏进程检测方法还存在被绕过和相关数据被篡改的可能性,针对这一问题,提出了一种高可靠In-VM隐藏进程对抗检测方法.该方法利用In-VM模型,通过改进虚拟化内存保护机制保护隐藏进程检测代码及其相关内核数据,确保其不被恶意篡改;通过准确劫持系统调用函数,并结合交叉视图方法检测隐藏进程,确保隐藏进程的检测算法无法被绕过.实验选取并构建多种典型的Rootkit隐藏进程,结果表明,该方法可以检测各种Rootkit隐藏进程,其隐藏进程检测代码及其相关数据无法被恶意篡改,检测算法和内存保护机制无法被绕过,而且改进的虚拟化内存保护机制对系统的性能影响更小,方法的可靠性高,实用价值大.

Windows主机键盘记录技术对比分析

键盘记录技术是最为基础的用户信息窃取技术,也是计算机恶意代码最常使用的技术,在计算机安全检测领域有着重要的意义。文章简述了Windows系统下的键盘信息处理机制,并在此基础上分析总结了基于函数截获的消息HOOK、内核函数HOOK、基于键盘状态检测的应用层键盘扫描、主动轮询这4种典型的键盘记录技术,并通过实验测试了这4种键盘记录技术的查全率、隐蔽性和抗干扰性。实验结果表明,目前主流的4种键盘记录技术查全率均能达到100%,但隐蔽性不足,无法避免主流安全软件的查杀,同时除键盘轮询外其余键盘记录技术不能抵抗主流的防密码窃取机制的干扰。

虚拟化平台构建操作系统函数调用关系方法

针对现有操作系统函数调用关系构建方法存在依赖系统源代码、兼容性差的问题,提出了一种基于硬件虚拟化中断陷入机制的操作系统内核函数调用关系构建方法。该方法在操作系统内核函数的特定位置动态插入会引起虚拟化中断陷入的特殊指令覆盖内核特定位置的指令,实现在函数调用、被调用时触发虚拟化中断陷入,并在陷入后的虚拟机监控器中获取当前内核函数的调用信息,从而动态构建操作系统的内核调用关系。实验结果表明,本方法能在不依赖内核源码、编译器的情况下构建多种开源/闭源、32位/64位操作系统的内核函数调用关系,构建准确率为100%,查全率大于85%。该方法可用于操作系统内核安全分析及白名单构建等工作,具有一定的实用价值。

基于遗传算法的二进制程序模糊测试方法

针对当前二进制程序模糊测试中基于变异生成的测试数据的执行路径重复率高导致代码覆盖率低的问题,提出基于遗传算法的二进制程序模糊测试方法.该方法将测试数据转换为遗传算法中的个体,利用Quick Emulator对二进制程序进行插桩以获取程序执行路径,使用基于程序执行路径的适应度函数指导遗传算法中的进化过程,使生成的测试数据能够覆盖更多的程序执行路径.实验结果表明,该方法在相同时间内达到的代码覆盖率平均比模糊测试工具American Fuzzy Lop(AFL)高25.4%.同时,该方法在漏洞挖掘实验中发现了测试程序中的所有崩溃漏洞并且其效率至少比AFL提高10%.该方法能够用于提高模糊测试的漏洞挖掘效率.

结合路径标签和数据变异的模糊测试关键数据定位方法

针对现有的二进制程序模糊测试中关键数据定位方法资源消耗大、误报率较高等问题,提出一种结合路径标签和数据变异的模糊测试关键数据定位方法.该方法通过静态分析对二进制程序中的危险操作进行定位;使用动态插桩跟踪程序的执行过程,获取危险操作的路径标签和参数;通过分析输入数据变异前后跟踪结果的异同从而进行关键数据定位.实验结果表明,该方法能够在较低的资源消耗下有效进行关键数据定位,误报率小于0.3%,同时查全率大于70%,精确率大于60%;可用于提高二进制程序模糊测试的漏洞挖掘能力,具有较强的实用价值.